drf反序列化

Laravel-popchain

看了下基本上就5.7,5.8两个版本的rce反序列化popchain。所以工作量应该不大。正好最近完成tp系列的popchain学习审计代码的感觉还在,那就趁热打铁吧。
byc_404·2024-01-28 15:16

漏洞复现 - Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437）

Shiro最有名的漏洞就是反序列化漏洞了，加密的用户信息序列化后存储在名为remember-me的Cookie中，攻击者使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令
Sally__Zhang·2024-01-28 13:15

Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437）

目录ApacheShiro简介漏洞原理影响版本漏洞复现声明：本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，本人不承担任何法律及连带责任。ApacheShiro简介ApacheShiro是一个Java安全框架，执行身份验证、授权、密码和会话管理。漏洞原理ApacheShiro框架提供了记住我（rememberMe）的功能，关闭了浏览器下次再打开时还
Passer798·2024-01-28 13:14

shiro1.2.4反序列化漏洞(CVE-2016-4437)的问题分析（一）

记录Java开发中的问题，一起成长！问题背景：在某个项目中依赖了shiro1.2.4，结果收到了网警的一纸警告，警告上明确写道存在CVE-2016-4437以及造成此漏洞的罪魁祸首是使用了org.apache.maven.pluginsmaven-toolchains-plugin1.11.6suntoolchain这里定义了1.6版本的JDK的目录，当然，你也可以定义多个toolchain。ok
donggongai·2024-01-28 13:43

Apache Shiro ＜= 1.2.4反序列化漏洞攻击 CVE-2016-4437 已亲自复现

ApacheShiro<=1.2.4反序列化漏洞攻击CVE-2016-4437已亲自复现漏洞名称漏洞描述影响版本漏洞复现环境搭建漏洞利用修复建议总结漏洞名称漏洞描述在1.2.5之前的ApacheShiro
Bolgzhang·2024-01-28 13:41

java对象序列化技术的运用——学生管理系统

在这个项目中，可提前对序列化和反序列化方法进行封装，提高代码复用率。本项目总共三个类。学生类，学生管理类与client类。学生类publicStudent(intsn
旺仔小馒头~~·2024-01-28 12:46

php phar 混淆,深入理解PHP Phar反序列化漏洞原理及利用方法（一）

Phar反序列化漏洞是一种较新的攻击向量，用于针对面向对象的PHP应用程序执行代码重用攻击，该攻击方式在BlackHat2018会议上由安全研究员SamThomas公开披露。
永远的12·2024-01-28 10:34

PHAR反序列化漏洞

一：PHAR反序列化漏洞原理我们一般利用反序列化漏洞，一般借助unserialize(),但现在很难利用了，所以考虑用一种新的方法，不需要借助unserialize()情况下触发PHP反序列漏洞。
不要做小白了·2024-01-28 10:03

phar反序列化漏洞

基础：Phar是一种PHP文件归档格式，它类似于ZIP或JAR文件格式，可以将多个PHP文件打包成一个单独的文件（即Phar文件）。打包后的Phar文件可以像普通的PHP文件一样执行，可以包含PHP代码、文本文件、图像等各种资源，也可以对Phar文件进行签名、压缩和加密，我们还可以在文件包含中使用phar伪协议，可读取.phar文件。phar文件格式：stub.phar文件标识，格式为xxx;ma
补天阁·2024-01-28 10:59

Adobe ColdFusion 反序列化漏洞复现(CVE-2023-38203）

0x02漏洞概述AdobeColdFusion存在代码问题漏洞，该漏洞源于受到不受信任数据反序列化漏洞的影响，攻击者通过漏洞可以代码执行，可导致服务器失陷，获取服务器权限。
OidBoy_G·2024-01-28 09:57

Spark——Spark/Hive向量化查询执行原理分析（Vectorization Query Execution）

而在向量化查询执行中，每次处理包含多行记录的一批数据，每一批数据中的每一列都会被存储为一个向量（一个原始数据类型的数组），这就极大地减少了执行过程中的方法调用、反序列化和不必要的
Southwest-·2024-01-28 08:47

【Kafka】高级特性：消费者

目录消息消费消息消费流程信息注册消息消费消费方式反序列化拦截器消费者原理剖析消费者组和消费者心跳机制消费者位移概述位移管理位移提交再平衡何时发生再平衡避免重平衡再平衡原理消费组状态机参数配置消息消费消息消费流程参考
Ethan-running·2024-01-28 07:39

【Go 快速入门】数组 | 切片 | 映射 | 函数 | 结构体 | 方法和接收者

文章目录数组切片append函数copy函数删除元素映射delete函数函数init特殊的函数defer语句panic/recover错误处理类型结构体内存对齐JSON序列化与反序列化方法和接收者项目代码地址
ღCauchyོꦿ࿐·2024-01-28 07:06

<第四章>Node 学习笔记 |> QueryString 参数处理小利器<|

序列化：querystring.stringify()反序列化：querystring.parse()转义：querystring.escape()反转义：querystring.unescape()总结
熊明才·2024-01-28 06:04

JAVA反序列化漏洞基础

ObjectOutputStreampackagecom.test;publicclassEmployeeimplementsjava.io.Serializable{publicStringname;publicStringaddress;publictransientintage;//transient瞬态修饰成员,不会被序列化publicvoidaddressCheck(){System.o
coleak·2024-01-28 05:06

Java代码审计：反序列化链CommonsCollections1详解

CommonsCollection在java反序列化的源流中已经存在5年今天介绍的CommonsCollections1，反序列化的第一种RCE序列化链CommonsCollections1反序列化漏洞点仍然是
god_Zeo·2024-01-28 05:34

Goby 利用内存马中的一些技术细节【技术篇】

社区的内存马文章已经写了两篇，在第一篇《Shell中的幽灵王者—JAVAWEB内存马【认知篇】》中介绍了JavaWeb内存马技术的历史演变、分类，从认知层面对常见的JavaWeb内存马技术进行了介绍；第二篇《用Goby通过反序列化漏洞一键打入内存马
Gobysec·2024-01-28 05:34

彻底解决Spring mvc中时间的转换和序列化等问题

我们使用含有java.time封装类型的参数接收也会报反序列化问题，在返回前端带时间类型的同样会出现一些格式化的问题。今天我们来彻底解决他们。建议其实最科学的建议统一使用时间戳来代表时间。
码农小胖哥·2024-01-28 01:25

服务攻防-中间件安全&HW2023-WPS分析&Weblogic&Jetty&Jenkins&CVE

知识点：1、中间件-Jetty-CVE&信息泄漏2、中间件-Jenkins-CVE&RCE执行3、中间件-Weblogic-CVE&反序列化&RCE4、应用WPS-HW2023-RCE&复现&上线CS章节点
SuperherRo·2024-01-27 22:46

怎么做深拷贝？

在JavaScript中，可以通过以下方法来实现深拷贝：使用JSON序列化和反序列化：constdeepCopy=(obj)=>{returnJSON.parse(JSON.stringify(obj)
一个大长腿·2024-01-27 21:07

【网络编程】协议定制

tcp是面向字节流的Json序列化和反序列化requestresponsehttp协议urlencode和urldecodehttp协议格式http服务器#pragmaonce#include#include
天穹南都·2024-01-27 19:50

go 原生rpc使用详解

调用几大要素概念:像调用本地方法一样调用远程方法,要实现类似的效果就必须满足一些规则,即以下几大要素CALLID映射(服务端和客户端都需要有一个映射表,服务端通过表知道客户端调用的是那个方法),序列化和反序列化
hengbo.liu·2024-01-27 18:15

[SWPUCTF 2018]SimplePHP

[SWPUCTF2018]SimplePHP知识点：phar反序列化文章目录[SWPUCTF2018]SimplePHP文件读取文件上传分析文件读取分析phar反序列化构造pop链一些函数测试参考链接文件读取注意观察
Sk1y·2024-01-27 17:27

【Spring连载】使用Spring访问 Apache Kafka（十六）----空payload和‘Tombstone‘记录的日志压缩

你也可以出于其他原因接收到null值，例如反序列化程序在无法反序列化值时可能返回null。要使用KafkaTemplate发送null负载，可以将n
85程序员老王·2024-01-27 16:26

架构设计：RPC框架的基本架构与组件

RPC框架的核心组件包括客户端、服务端、注册中心、协议、序列化和反序列化等。在分布式系统中，客户端可以通过RPC框架调用服务端提供的远
OpenChat·2024-01-27 12:29

Djangorestframework序列化器实现多张表数据添加和修改

在本文中，我们将了解Djangorest框架嵌套序列化器以及如何创建DRF可写嵌套序列化器。本教程分为两部分。在第一部分中，我们将讨论如何创建模型、序列化器和视图。
win_zcj·2024-01-27 08:44

ThinkPHP5.0.0~5.0.23反序列化利用链分析

本次测试环境仍然是ThinkPHPv5.0.22版本，我们将分析其中存在的一条序列化链。一道CTF题这次以一道CTF题作为此次漏洞研究的开头。题中涉及PHP的死亡绕过技巧，是真实环境中存在的情况。$payload='';$filename=$payload.'468bc8d30505000a2d7d24702b2cda9.php';$data="\n".serialize($payload.'64
昵称还在想呢·2024-01-27 07:02

Java序列化

1.定义：Java序列化就是指把Java对象转换为字节序列的过程Java反序列化就是指把字节序列恢复为Java对象的过程。
Cucucuu·2024-01-27 01:24

Leetcode-树的遍历

从前序与中序遍历序列构造二叉树q106从中序与后序遍历序列构造二叉树q110平衡二叉树q114二叉树展开为链表q124二叉树中的最大路径和q144二叉树的前序遍历q145二叉树的后序遍历q297二叉树的序列化与反序列化
jenrain·2024-01-27 00:24

[极客大挑战 2019]PHP 1

文章目录PHP中的反序列化漏洞总结：[极客大挑战2019]PHP1看了看源码没什么东西，又看见提示他说有备份网站的好习惯，故我们进行dirsearch进行网站目录扫描importrequests自动扫描网站备份文件自动化脚本
Harder.·2024-01-27 00:27

[极客大挑战 2019]PHP1

知识点：1.序列化的属性个数大于实际属性个数可以绕过_wakeup()详见[CTF]PHP反序列化总结_ctfphp反序列化-CSDN博客2.private属性类名和属性名前都会有多一个NULL，phpstorm
ғᴀɴᴛᴀsʏ·2024-01-27 00:56

Java笔记(数据流、File、对象流)

文章目录一、数据流1.概述2.使用二、File1.概述2.构造方法3.常用方法4.使用方式5.递归复制三、对象流1.概述2.注意3.序列化4.反序列化5.serialVersionUID6.Transient
独行乡窝窝侠·2024-01-26 22:08

反序列化__wakeup()绕过

据陈腾师傅所说：漏洞产生原因：如果存在——wakeup（）方法，调用unserilze（）方法前则线调用——wakeup（）方法，但是序列化字符串中表示对象属性个数的值大于真实的属性个数时，会tiaoguo——wakeup()的执行。也就是属性个数比你实际个数多。但是限制很大，5file=$file;}function__destruct(){include_once($this->file);e
补天阁·2024-01-26 22:39

session反序列化

函数序列化处理的值php_serialize(php>=5.54)经过serlalize()函数序列化处理的数组php_binary键名的长度对应的ASCII字符+键名+经过serialize()函数反序列化处理的值
补天阁·2024-01-26 22:38

Spring Boot 3.x- Servlet Web应用程序开发(Spring MVC)

系列文章目录系列文章:SpringBoot3.x系列教程文章目录系列文章目录前言一、SpringWebMVC1.示例2.SpringMVC自动配置3.HttpMessageConverters4.JSON序列化和反序列化
laopeng301·2024-01-26 19:09

C++：类型转换和IO流

static_castreinterpret_castconst_castdynamic_cast注意RTTI流的概念C++中的IO流标准IO流多组数据的输入和输出问题C++中的文件IO流stringstream序列化和反序列化结构数据本篇总结的是类型转换和
海绵宝宝de派小星·2024-01-26 19:05

路飞项目--03

总页面二次封装Response模块#drf提供的Response，前端想接收到的格式{code:xx,msg:xx}后端返回，前端收到：APIResponse(tokne='asdfa.asdfas.asdf
糖果爱上我·2024-01-26 17:26

序列化

序想必大家都听过序列化或者是反序列化，为什么要序列化呢？如果不序列化会出现什么问题，序列化了有什么好处呢，有哪些序列化的方式呢，在本次分享中都会一一解答。
秃秃少年小猪·2024-01-26 15:42

.Net .Net Core 中的JSon与对象的互相转换

staticpublicstringSerializeJSON(Tdata){returnNewtonsoft.Json.JsonConvert.SerializeObject(data);}//////反序列化
QFN-齐·2024-01-26 13:07

Java中的序列化与反序列化（四）：Java类属性首字母或前两个字母大写获取属性值为null的问题

Java类属性首字母或前两个字母大写获取属性值为null的问题1、概述2、解决发方法2.1、解决方法2.2、问题深入3、其他要说的4、总结1、概述大家好，我是欧阳方超。SpringBoot项目，定义了一个DTO，属性是大写的，当用它作为接口的接收对象时，会发现接收到的对象ID属性一直为null。importlombok.Data;@DatapublicclassFa{privateStringID
欧阳方超·2024-01-26 10:28

解决LocalDateTime返回到前端变为时间戳（序列化与反序列化）@JsonFormat失效等问题

问题描述：实体类实现了Serializable接口，实体类中有一个LocalDateTime类型的属性，用@JsonFormat(pattern="yyyy-MM-ddHH:mm:ss")注解进行修饰，且application.properties中配置了spring.jackson.serialization.write_dates_as_timestamps=false，但是前端收到的对象中的
miraitowa.cn·2024-01-26 04:44

@JsonInclude、@JsonIgnore、@JsonFormat、@JsonSerialize、@JsonIgnoreProperties、@JsonIgnoreType

一、@JsonIgnore：1、作用：在json序列化时将javabean中的一些属性忽略掉，序列化和反序列化都受影响。
扬起嘴角掩盖所有·2024-01-26 04:43

【jackson】jackson全局配置方式 因为JsonDeserializer全局配置优先级导致@JsonFormat失效的问题

不影响@JsonFormat)全局配置：继承JsonDeserializer配置(影响@JsonFormat)并解决该问题（重难点）@DateTimeFormat的使用场景我们知道jackson的序列化反序列化配置方式较多
孟秋与你·2024-01-26 04:13

@JsonFormat @DateTimeFormat 区别与jackson全局序列化反序列化设置

jackson设置：测试formdata传参前端->后端@DateTimeFormatOK后端->前端-@JsonFormatOK②未使用全局jackson设置：测试json传参（使用@ResbonseBody反序列化
jwolf2·2024-01-26 04:13

com.fasterxml.jackson.annotation.JsonFormat 自定义时间格式失效

原因：因为我直接把参数塞到了JSONObject里，编译的时候会反序列化，导致了JsonFo
QQ_hoverer·2024-01-26 04:43

SpringBoot中Redis解决LocalDateTime序列化与反序列化不一致问题

前言在SpringBoot应用中，数据的序列化和反序列化是关键环节。然而，对于LocalDateTime类型的数据，有时会遇到序列化与反序列化不一致的问题。这主要是由于不同的时区或格式差异所导致。
爱生活，更爱技术·2024-01-26 02:07

Fastjson代码审计实战

fastjson涉及反序列化的方法有两种，JSON.parseObject()和JSON.parse()，在代码中直接搜索parseObject。
Hello_Brian·2024-01-26 01:56

网络序列化和反序列化

目录序列化：序列化是指将数据结构或对象状态转换为可以存储或传输的形式的过程。这个过程主要是为了将复杂的数据结构转化为字节流，以便于存储到文件或者在网络中传输。实现序列化的方式取决于使用的编程语言和数据类型。在许多语言中，例如Java、Python等，都有内置的序列化库。例如在Python中，我们可以使用pickle库来进行序列化：importpickledata={'key':'value'}se
General_G·2024-01-25 23:51

Flink10：Flink支持的数据类型

它们需要被序列化和反序列化，以便通过网络传送它们；或者从状态后端、检查点和保存点读取它们。为了有效地做到这一点，Flink需要明确知道应用程序所处理的数据类型。
勇于自信·2024-01-25 22:46

LeetCode刷题笔记（Java）---第441-460题

文章目录前言笔记导航441.排列硬币442.数组中重复的数据443.压缩字符串445.两数相加II446.等差数列划分II-子序列447.回旋镖的数量448.找到所有数组中消失的数字449.序列化和反序列化二叉搜索树
三木加两木·2024-01-25 19:06
上一页 3 4 5 6 7 8 9 10 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他