本文首发于“合天智汇”公众号 作者:Fortheone 前言 最近学习java反序列化学到了weblogic部分,weblogic之前的两个反序列化漏洞不涉及T3协议之类的,只是涉及到了XMLDecoder反序列化导致漏洞,但是网上大部分的文章都只讲到了触发XMLDecoder部分就结束了,并没有讲为什么XMLDecoder会触发反序列化导致命令执行.于是带着好奇的我就跟着调了一下XMLDecoder的反序列化过程. xml序列化 首先了解一下java中的XMLDecoder是什么.XMLDec

就以这张图片作为开篇和问题引入吧 <options>问题解决办法请参考上一篇 如何获取360站长邀请码,360网站安全站长邀请码 首先360能够提供一个这样平台去检测还是不错的.但是当体检出来 看到漏洞报告,以为360会像windows上360安全卫士一样帮我们打好补丁.但是实际发现漏洞是要自己修复,并且php和asp aspx有360提供的补丁或者解决方案(想要看这些方案之前要申请为站长但是需要邀请码 这个可以在页面 页面左下角 360主机卫士感恩卡里面领取). 进入修复方案后发现java几

主要参考资料:数据结构(C语言版)严蔚敏   ,http://blog.chinaunix.net/uid-25324849-id-2182922.html   代码测试通过. package 图的建立与实现; import java.util.*; public class MGraph { final int MAXVEX = 100; final int INFINITY = 65535; int[] vexs = new int[MAXVEX]; //顶点表 int[][] arc =

ref:https://mp.weixin.qq.com/s?__biz=MzIzMzgxOTQ5NA==&mid=2247484200&idx=1&sn=8f3201f44e6374d65589d00d91f7148e readme:其实所有的反序列化漏洞都是因为在反序列化过程中,执行函数存在文件读写或者命令执行等情况. 3.2.2版本之前的Apache-CommonsCollections存在该漏洞. Java安全之反序列化漏洞分析 原创 Java面试那些事儿 2017-10-

//转 http://blog.csdn.net/lyfi01/article/details/6415726 1．Java对象的强.软.弱和虚引用 在JDK 1.2以前的版本中,若一个对象不被任何变量引用,那么程序就无法再使用这个对象.也就是说,只有对象处于可触及(reachable)状态,程序才能使用它.这 就像在日常生活中,从商店购买了某样物品后,如果有用,就一直保留它,否则就把它扔到垃圾箱,由清洁工人收走.一般说来,如果物品已经被扔到垃圾箱,想再 把它捡回来使用就不可能了. 但有时候情况

原文地址:https://segmentfault.com/a/1190000007122432?hmsr=toutiao.io&utm_medium=toutiao.io&utm_source=toutiao.io 目前在搞 Node.js,曾经的 JAVA 知识忘了好多,为此整理了下,感叹下工业语言还是有相当的优势的. 目录 流 异常 注解 安全性 类加载 关键字 初始化 多线程 线程池 内存模型 流 Java所有的流类位于java.io包中,都分别继承字以下四种抽象流类型. Type

简介 笔者当初为了学习JAVA,收集了很多经典源码,源码难易程度分为初级.中级.高级等,详情看源码列表,需要的可以直接下载! 这些源码反映了那时那景笔者对未来的盲目,对代码的热情.执着,对IT的憧憬.向往!此时此景,笔者只专注Android.Iphone等移动平台开发,看着这些源码心中有万分感慨,写此文章纪念那时那景!   Java 源码包 Applet钢琴模拟程序java源码 2个目标文件,提供基本的音乐编辑功能.编辑音乐软件的朋友,这款实例会对你有所帮助.Calendar万年历 1个目标文件

一.三大框架方面问题   1.Spring 事务的隔离性,并说说每个隔离性的区别 解答:Spring事务详解 2.Spring事务的传播行为,并说说每个传播行为的区别 解答:Spring事务详解 3.hibernate跟Mybatis/ ibatis 的区别,为什么选择? 解答:Hibernate与Mybatis的比较 4.Struts跟Spring mvc的优缺点,让你选会如何选 解答:Spring MVC 与 Struts的区别 5.简单说说Spring 事务机制 解答:Spring事务机制

0x00 前言 java代码审计相关文章整理,持续更新. 0x01 java环境基础 搭建Java Web开发环境   配置IDEA编辑器开发java web,从0创建项目   IDEA动态调试   IDEA配置tomcat   maven配置和IDEA创建maven项目   IDEA如何导入eclipse项目   java基础环境配置,来自漏洞社区   0x02 java语法知识 菜鸟教程   理解java的三大特性之封装   理解java的三大特性之继承   理解java的三大特性之多态  

一.面试题基础总结 1. JVM结构原理.GC工作机制详解 答:具体参照:JVM结构.GC工作机制详解     ,说到GC,记住两点:1.GC是负责回收所有无任何引用对象的内存空间. 注意:垃圾回收回收的是无任何引用的对象占据的内存空间而不是对象本身,2.GC回收机制的两种算法,a.引用计数法  b.可达性分析算法(  这里的可达性,大家可以看基础2 Java对象的什么周期),至于更详细的GC算法介绍,大家可以参考:Java GC机制算法 2.Java对象的生命周期 答:创建阶段 . 应用阶段

集锦一: 一.面试题基础总结 1. JVM结构原理.GC工作机制详解 答:具体参照:JVM结构.GC工作机制详解     ,说到GC,记住两点:1.GC是负责回收所有无任何引用对象的内存空间. 注意:垃圾回收回收的是无任何引用的对象占据的内存空间而不是对象本身,2.GC回收机制的两种算法,a.引用计数法  b.可达性分析算法(  这里的可达性,大家可以看基础2 Java对象的什么周期),至于更详细的GC算法介绍,大家可以参考:Java GC机制算法 2.Java对象的生命周期 答:创建阶段 .

摘自:http://blog.nsfocus.net/web-vulnerability-analysis-coding-security/ 超全Web漏洞详解及其对应的安全编码规则,包括:SQL注入.XSS.CSRF.文件上传.路径遍历.越权.XML以及业务安全等,实例告诉你各个漏洞对应的编码规则.给你的代码加把安全锁! 文章目录 一.Web安全基础 1.1 常见的Web安全漏洞 1.2 安全编码原则 1.3 数据验证 1.4 身份认证&会话管理 1.5 授权管理 1.6 存储安全 二.SQL

JAVA源码包1JAVA源码包2JAVA源码包3JAVA源码包4 JAVA开源包1 JAVA开源包2 JAVA开源包3 JAVA开源包4 JAVA开源包5 JAVA开源包6 JAVA开源包7 JAVA开源包8 JAVA开源包9 JAVA开源包10 JAVA开源包11 JAVA开源包12 简介 笔者当初为了学习JAVA,收集了很多经典源码,源码难易程度分为初级.中级.高级等,详情看源码列表,需要的可以直接下载! 这些源码反映了那时那景笔者对未来的盲目,对代码的热情.执着,对IT的憧憬.向往!此时此

(转载)博客原文链接:https://www.cnblogs.com/java1024/p/8594784.html 一.面试题基础总结 1. JVM结构原理.GC工作机制详解 答:具体参照:JVM结构.GC工作机制详解     ,说到GC,记住两点:1.GC是负责回收所有无任何引用对象的内存空间. 注意:垃圾回收回收的是无任何引用的对象占据的内存空间而不是对象本身,2.GC回收机制的两种算法,a.引用计数法  b.可达性分析算法(  这里的可达性,大家可以看基础2 Java对象的什么周期),至

Java高级工程师面试题总结及参考答案 (转载)博客原文链接:https://www.cnblogs.com/java1024/p/8594784.html 一.面试题基础总结 1. JVM结构原理.GC工作机制详解 答:具体参照:JVM结构.GC工作机制详解     ,说到GC,记住两点:1.GC是负责回收所有无任何引用对象的内存空间. 注意:垃圾回收回收的是无任何引用的对象占据的内存空间而不是对象本身,2.GC回收机制的两种算法,a.引用计数法  b.可达性分析算法(  这里的可达性,大家可

Java安全之Weblogic 2016-3510 分析 首发安全客:Java安全之Weblogic 2016-3510 分析 0x00 前言 续前面两篇文章的T3漏洞分析文章,继续来分析CVE-2016-3510漏洞,该漏洞一样是基于,前面的补丁进行一个绕过. Java安全之初探weblogic T3协议漏洞 Java安全之Weblogic 2016-0638分析 0x01 工具分析 这里还需要拿出上次的weblogic_cmd的工具来看一下CVE-2016-3510的命令执行payload怎

java代码审计的点 组件的审计 首先看pom.xml查看第三方组件和第三方组件的版本 常用的第三方组件: 第三方组件 漏洞类型 组件漏洞版本 log4j2 远程代码执行 Apache log4j2 >= 2.0, <= 2.14.1 Fastjson 反序列化远程代码执行 Fastjson <= 1.2.80 iBatis(MyBatis) SQL注入 Struts2 命令执行 Shiro 反序列化 中间件 Tomcat,WebLogic,WebShereJboss,Jetty,Gla

本文适合的人群 其实感觉写这个标题的内容没有必要,只要你觉得对你有帮助那么就适合你,对你没帮助那么就不适合你.毕竟我不是专业作者,但咱会尽力的.其实最重要的一点是我不希望浪费您宝贵时间. 简要把内容在这里说一下(等会弄目录了,再改成目录方式吧) 对java.lang.Boolean的概况简单介绍.这里其实和看API差不多,而且没有API全. 我个人是如何理解java.lang.Boolean的 拆箱和装箱 我衷心的希望您能提出宝贵的意见,若文中有任何不妥非常希望能得到您的指正. java.lan

coreJava部分 7 1.面向对象的特征有哪些方面? 7 2.作用域public,private,protected,以及不写时的区别? 7 3.String 是最基本的数据类型吗? 7 4.float 型float f=3.4是否正确? 7 5.语句float f=1.3:编译能否通过? 7 6.short s1 = 1; s1 = s1 + 1;有什么错? 7 7.Java 有没有goto? 7 8.int 和Integer 有什么区别? 7 9.&和&&的区别? 8 10

Weblogic反序列化漏洞的解决方案基于网上给的方案有两种: 第一种方案如下 使用SerialKiller替换进行序列化操作的ObjectInputStream类; 在不影响业务的情况下,临时删除掉项目里的 "org/apache/commons/collections/functors/InvokerTransformer.class"文件. ObjectInputStream类为JRE的原生类,InvokerTransformer.class为weblogic基础包中的类,对上

一.多线程基础 编写线程程序主要是构造线程类.构造线程类的方式主要有两种,一种是通过构造类java.lang.Thread的子类,另一种是通过构造方法实现接口java.lang.Runnable的类.因为类java.lang.Thread实际上也是实现了接口java.lang.Runnable的类,所以上面两种构造线程类的方法从本质上都是构造实现接口java.lang.Runnable的类.下面将具体介绍着两种方法. (1)通过类Thread的子类构造线程 类java.lang.Thread的每