java JDWP调试接口任意命令执行漏洞
JDWP（Java DEbugger Wire Protocol）：即Java调试线协议，是一个为Java调试而设计的通讯交互协议，它定义了调试器和被调试程序之间传递的信息的格式。说白了就是JVM或者类JVM的虚拟机都支持一种协议，通过该协议，Debugger 端可以和 target VM 通信，可...
Java RMI 反序列化漏洞-远程命令执行
RMI即远程方法调用，通俗的来说就是客户端可以调用服务端的方法。和RPC差不多，RMI是java独立实现的一种机制。RMI使用的通信协议为JRMP(Java Remote Message Protocol ，Java 远程消息交换协议)，该协议为Java定制，要求服务端与客户端都为Java编写。在R...
Java安全之Velocity模板注入漏洞
在前面两篇文章已经提到过FreeMarker，Thymeleaf 模板注入了内容，这篇是最后一篇。什么是 VelocityVelocity 模板是一种用于快速开发 Web 应用程序的模板引擎。它允许开发人员使用自然语言和简单的语法来描述 Web 应用程序的 UI 和业务逻辑，从而提高开发效率和代码质...
Java安全之Thymeleaf模板注入漏洞
Thymeleaf 简介Thymeleaf 是新一代 Java 模板引擎，与 Velocity、FreeMarker 等传统 Java 模板引擎不同，Thymeleaf 支持 HTML 原型，其文件后缀为“.html”，因此它可以直接被浏览器打开，此时浏览器会忽略未定义的 Thymeleaf 标签属...
Java审计之Freemarker模板注入漏洞
Freemarker 是一种模板引擎，它允许开发人员将模板文本注入到动态数据中，从而生成动态页面和其他文档。Freemarker 支持多种语法和功能，包括条件语句、循环语句、函数、表达式等等。开发人员可以使用这些语法和功能来构建模板，并动态注入数据。Freemarker 模板引擎使用了一种称为“模板...
WEB漏洞 JAVA 反序列化
#序列化和反序列化序列化 (Serialization)：将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将其当前状态写入到临时或持久性存储区。反序列化：从存储区中读取该数据，并将其还原为对象的过程，称为反序列化。Java反序列化及命令执行代码测试在IDE创建一个pac...
Java反序列化漏洞自动挖掘方法
文章来源：蚂蚁非攻安全实验室 、先知白帽大会一、序列化与反序列化 1、定义：序列化是用于将对象转换成二进制串存储,对应着 writeObject，反序列正好相反,将二进制串转换成对象,对应着 Freadobject2、各编程语言都存在：Java： java.io.Serializable接口、fas...
如何预防SQL注入，XSS漏洞(spring,java)
SQL注入简介SQL注入是由于程序员对用户输入的参数没有做好校验，让不法分子钻了SQL的空子，比如：我们一个登录界面，要求用户输入用户名和密码：用户名： ’ or 1=1–密码：点击登录之后，如果后台只有一条简单的待条件的sql语句，没有做特殊处理的话...
Java 发现年度加密漏洞，15/16/17/18 版本用户需尽快修复！
近日，安全研究员 Khaled Nassar 在 GitHub 上公开了 Java 中新披露的数字签名绕过漏洞的 PoC 代码，其被追踪为CVE-2022-21449。据了解，该漏洞由安全咨询公司 ForgeRock 研究员 Neil Madden 于去年 11 月发现，并于当天就将此情况通知了甲骨...
深入剖析 Java 反序列化漏洞（下）
先开启 server，再运行 client 后，计算器会直接被打开！究其原因，主要是这个类JtaTransactionManager类存在问题，最终导致了漏洞的实现。打开源码，翻到最下面，可以很清晰的看到JtaTransactionManager类重写了readObject方法。重点就是这个方法in...
更新时间 2023-09-12 21:49:56
本页面内关键词为智能算法引擎基于机器学习所生成，如有任何问题，可在页面下方点击"联系我们"与我们沟通。
