概述 最新整理Java方面XML序列化和反序列化的常用工具类,找到了dom4j和xstream.dom4j相对小巧,很好的解读xml:但是对于对象的xml序列化和反序列化,我还是比较喜欢xsteam(ps:个人爱好吧),这里整理xstream的入门基础知识: 使用 引用maven内容 <dependency> <groupId>com.thoughtworks.xstream</groupId> <artifactId>xstream</artifac

前言 关于java反序列化漏洞的原理分析,基本都是在分析使用Apache Commons Collections这个库,造成的反序列化问题.然而,在下载老外的ysoserial工具并仔细看看后,我发现了许多值得学习的知识. 至少能学到如下内容: 不同反序列化payload玩法灵活运用了反射机制和动态代理机制构造POC java反序列化不仅是有Apache Commons Collections这样一种玩法.还有如下payload玩法: CommonsBeanutilsCollectionsLog

v\:* {behavior:url(#default#VML);} o\:* {behavior:url(#default#VML);} w\:* {behavior:url(#default#VML);} .shape {behavior:url(#default#VML);} Normal 0 false 7.8 磅 0 2 false false false EN-US ZH-CN X-NONE /* Style Definitions */ table.MsoNormalTable {

反序列化漏洞 #PHP反序列化 原理:未对用户输入的序列化字符串进行检测,导致攻击者可以控制反序列化过程,从而导致代码执行,SQL注入,目录遍历等不可控后果.在反序列化的过程中自动触发了某些魔术方法.当进行反序列化的时候就有可能会触发对象中的一些魔术方法. serialize()     //将一个对象转换成一个字符串 unserialize()   //将字符串还原成一个对象 触发:unserialize函数的变量可控,文件中存在可利用的类,类中有魔术方法: 参考:https://www.cn

Java审计之CMS中的那些反序列化漏洞 0x00 前言 过年这段时间比较无聊,找了一套源码审计了一下,发现几个有意思的点拿出来给分享一下. 0x01 XStream 反序列化漏洞 下载源码下来发现并不是源代码,而是一个的文件夹,里面都已经是编译过的一个个class文件. 在一个微信回调的路由位置里面找到通过搜索类名 Serialize关键字找到了一个工具类,并且参数是可控的. 这里调用xstream.fromXML(xml)进行反序列化. 而下面这个看了一下lib文件夹下面的组件其实是有着cc

Java安全之XStream 漏洞分析 0x00 前言 好久没写漏洞分析文章了,最近感觉在审代码的时候,XStream 组件出现的频率比较高,借此来学习一波XStream的漏洞分析. 0x01 XStream 历史漏洞 下面罗列一下XStream历史漏洞 XStream 远程代码执行漏洞 CVE-2013-7285 XStream <= 1.4.6 XStream XXE CVE-2016-3674 XStream <= 1.4.8 XStream 远程代码执行漏洞 CVE-2019-1017

FST的概念和定义 FST序列化全称是Fast Serialization Tool,它是对Java序列化的替换实现.既然前文中提到Java序列化的两点严重不足,在FST中得到了较大的改善,FST的特征如下: JDK提供的序列化提升了10倍,体积也减少3-4倍多 支持堆外Maps,和堆外Maps的持久化 支持序列化为JSON FST序列化的使用 FST的使用有两种方式,一种是快捷方式,另一种需要使用ObjectOutput和ObjectInput. 直接使用FSTConfiguration提供的

背景条件:java的框架,java的应用程序,使用序列化,反序列化操作非常多.在漏洞挖掘中,代码审计中,安全研究中,反序列化漏洞是个重点项,不可忽视.尤其是java应用程序的rce,10个里面有7个是因为反序列化导致的rce漏洞. 关于危害:漏洞挖掘中,一旦挖到反序列化漏洞,一般造成的风险极大.这里不对危害做过多描述. 花了几天时间,二次研究了下反序列化漏洞,发现反序列化漏洞不仅在白盒中使用广泛,在黑盒中,也有应用场景,对应的诞生了一些黑盒fuzz的技巧. 经过大量的阅读文献和调研, 我发现有些

目的 记录一下最主要学习心得,不然凭我这种辣鸡记忆力分分钟就忘记白看了... 用静态工厂方法代替构造器的最主要好处 1.不必每次都创建新的对象 Boolean.valueOf Long.valueOf 2.直接返回接口的子类型,对于外界来说并不需要关心实现细节,主要知道这个接口就行 Collections.unmodifiableList ...... 为什么避免使用终结方法 1.终结方法不会被及时执行 2.不同jvm上实现不同 3.可能根本不会执行 4.在其中抛出的异常会被忽略 5.性能差 何

z.JobPersistenceException: Couldn't retrieve job because the BLOB couldn't be deserialized: com.model.audience.AudienceGenerateMessage; local class incompatible: stream classdesc serialVersionUID = -5788828488888009304, local class serialVersionUID =

#Struts2-045 ''' CVE-2017-5638 影响范围:Struts 2.3.5 – Struts 2.3.31,Struts 2.5 – Struts 2.5.10 触发条件:基于Jakarta Multipart解析器上传文件时,可能会导致远程代码执行 利用方法:构造Content-type的值 测试POC: %{(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_mem

最近在开发中遇到一个Protostuff序列化问题,在这记录一下问题的根源:分析一下Protostuff序列化和反序列化原理:以及怎么样避免改bug. 1. 问题描述 有一个push业务用到了mq,mq的生产者和消费者实体序列化我们用的是Protostuff方式实现的.由于业务需要,我们要在一个已有的枚举类添加一种类型,比如: public enum LimitTimeUnit { NATURAL_DAY { @Override public long getRemainingMillis()

笔者<Qftm>原文发布:https://www.freebuf.com/vuls/216512.html *严正声明:本文仅限于技术讨论与分享,严禁用于非法途径 0×00 背景 10月9号国内几家安全媒体公布了Joomla RCE的漏洞预警,并且网上已公布漏洞利用EXP,影响版本包括Joomla 3.0.0 – 3.4.6. 0×01 环境搭建 Joomla是一套全球知名的内容管理系统.Joomla是使用PHP语言加上MySQL数据库所开发的软件系统,目前最新版本是3.9.11 .可以在Li

一.Spring Boot Actuators Spring Boot Actuator是Spring Boot提供的对应用系统的监控和管理的集成功能,可以查看应用配置的详细信息,例如自动化配置信息.创建的Spring beans信息.系统环境变量的配置信以及Web请求的详细信息等.如果使用不当或者一些不经意的疏忽,可能造成信息泄露等严重的安全隐患. 当Spring Boot应用程序运行时,它会自动将多个端点例如/health,/trace,/beans,/env等注册到路由过程中.对于Spri

copy 子杰的哈,懒的写了 0x01  未授权访问可以理解为需要授权才可以访问的页面由于错误的配置等其他原因,导致其他用户可以直接访问,从而引发各种敏感信息泄露. 0x02 Spring Boot Actuator未授权访问 /dump - 显示线程转储(包括堆栈跟踪) /autoconfig - 显示自动配置报告 /configprops - 显示配置属性 /trace - 显示最后几条HTTP消息(可能包含会话标识符) /logfile - 输出日志文件的内容 /shutdown - 关闭

Netflix OSS是由Netflix公司主导开发的一套代码框架/库,目的是用于解决大规模集群的分布式系统的一连串问题,如:服务发现.负载均衡.熔断降级.限流.网关等.对于当代的Java开发者来说,Netflix OSS似乎已经成为了云端开发/微服务开发解决方案的代名词.有些小伙伴把Spring Cloud和Netflix画了等号,这虽然是不对的,但足矣见得Netflix OSS它在微服务解决方案中的地位. 时至今日的2020年,虽说旗下众多工程大都已经进入到停更维护状态,但由于它悠久的历史积

Java代码审计之不安全的Java代码 ​ 在打靶场的同时,需要想一下如果你是开发人员你会怎样去防御这种漏洞,而作为攻击方你又怎么去绕过开发人员的防御. 环境搭建 https://github.com/j3ers3/Hello-Java-Sec SQL注入 ​ SQLI(SQL Injection), SQL注入是因为程序未能正确对用户的输入进行检查,将用户的输入以拼接的方式带入SQL语句,导致了SQL注入的产生.攻击者可通过SQL注入直接获取数据库信息,造成信息泄漏. SQL注入之JDBC注入

用静态工厂方法代替构造器的最主要好处 1.不必每次都创建新的对象 Boolean.valueOf Long.valueOf 2.直接返回接口的子类型,对于外界来说并不需要关心实现细节,主要知道这个接口就行 Collections.unmodifiableList ...... 为什么避免使用终结方法 1.终结方法不会被及时执行 2.不同jvm上实现不同 3.可能根本不会执行 4.在其中抛出的异常会被忽略 5.性能差 何时使用: 1.作为释放资源的备用方法 FileInputStream: pro

1.集合(1)ArrayList内部存储数据的是一个object数组,创建这个类的对象的时候,这个对象里的数组的长度为0(2)调用Add方法加元素的时候,如果第一次增加元神,就会将数组的长度变为4往里面加(3)如果存储数据的数组满了,就会新建一个数组长度是原来的数组的两倍,这个数组被原来的数组的变量所引用比如自己实现简单的ArrayList Add方法 public class MyArrayList { ]; ; public void Add(object obj) { ) { ]; Arr

零.Java反序列化漏洞 java的安全问题首屈一指的就是反序列化漏洞,可以执行命令啊,甚至直接getshell,所以趁着这个假期好好研究一下java的反序列化漏洞.另外呢,组里多位大佬对反序列化漏洞都有颇深的研究,借此机会,努力学习,作为狼群中的哈士奇希望成功的继续伪装下去,不被识破,哈哈哈哈!!! 参考文档:感谢所有参考文献的作者: 1.https://www.cnblogs.com/bencakes/p/6139477.html 2.https://www.cnblogs.com/ssoo