java反序列化

[Java反序列化]—CommonsCollections3

前言在了解动态加载字节码文件后，开始学习CC3[Java安全]—动态加载字节码文件分析前篇了解了动态加载字节码文件，后来在审CC3时发现就是TemplatesImpl加载字节码的一个反序列化延伸，将本条链和CC1的结合起来就能直接命令执行只需要修改这部分即可，即：从原本的InvokerTransformer到Runtime.class到exec()变成了InvokerTransformer调用Te
Sentiment.·2022-11-27 16:37

Java反序列化2-CommonCollections利用链分析

Java反序列化2-CommonCollections利用链分析0x00前言0x01实验环境0x02利用链TransformerConstantTransformerInvokerTransformerChainedTransformer0x03POC
浔阳江头夜送客丶·2022-11-27 16:33

Java反序列化7-CommonsCollections6利用链分析

Java反序列化7-CommonsCollections6利用链分析以下是CC6三种实现方式ysoserialPOC：importorg.apache.commons.collections.Transformer
浔阳江头夜送客丶·2022-11-27 16:02

java反序列化利用工具香草,Java反序列化之与JDK版本无关的利用链挖掘

//使用ChainedTransformer组合利用链TransformertransformerChain=newChainedTransformer(transformers);MaplazyMap=LazyMap.decorate(newHashMap,transformerChain);TiedMapEntryentry=newTiedMapEntry(lazyMap,"haha");Ba
Rubix-Kai·2022-11-27 16:32

java反序列化和静态代码块,Java反序列化：基于CommonsCollections4的Gadget分析

一、背景及概要随着Java应用的推广和普及，Java安全问题越来越被人们重视，纵观近些年来的Java安全漏洞，反序列化漏洞占了很大的比例。就影响程度来说，反序列化漏洞的总体影响也明显高于其他类别的漏洞。在反序列化漏洞的利用过程中，攻击者会构造一系列的调用链以完成其攻击行为。如何高效的生成符合条件且可以稳定利用的攻击Payload成为了攻击链条中的重要一环，当前已经有很多现成的工具帮助我们完成Pay
王筱婷·2022-11-27 16:31

java反序列化 exp_java反序列化-ysoserial-调试分析总结篇(4)

1.前言这篇文章继续分析commoncollections4利用链，这篇文章是对cc2的改造，和cc3一样，cc3是对cc1的改造，cc4则是对cc2的改造，里面chained的invoke变成了instantiateTransformer，所以不用invoke反射调用方法，所以外层queue里面放的元素随意缩减版的函数调用栈如下图所示：2.利用链分析：调用还是从PriorityQueue.rea
看点君的圈子·2022-11-27 16:00

java反序列化 exp_JAVA反序列化exp及使用方法

这两天很火的java反序列化漏洞，看到乌云大牛已经开始刷分，于是找来实践一波exp来源ysoserial这个项目针对不同的java产品给出了简单的漏洞利用脚本．其中weblogic和jenkins提供python
神奇的战士·2022-11-27 16:30

[Java反序列化]—CommonsCollections1

环境JAVAcommons-collectionscommons-collections3.10x01:我是笨比，硬是学了两天才审明白。但是回头看还是挺简单的。。TransformedMap直接看类中的decorate()方法，第一个参数就是要修饰的Map对象，第二个和第三个参数都是实现了Transformer接口的类的对象，分别用来转换Map的键和值。publicclassTransformed
snowlyzz·2022-11-27 16:26

[JAVA反序列化] URLDNS

0x01URLDNS链子不能够RCE但是通常作为验证是否存在反序列化漏洞的一种方式，学习反序列化先从URLDNS开始，因为他短。我的环境有问题，直接来审，环境就不说了，参考其他师傅的吧源码：mirrors/frohoff/ysoserial·GitCode分析publicclassURLDNSimplementsObjectPayload{publicObjectgetObject(finalSt
snowlyzz·2022-11-27 16:25

Java反序列化回显

在Java反序列化漏洞利用中，结果回显是一个需要解决的问题，这里记录学习到的一些回显方法。
0x6b79·2022-11-27 16:52

java反序列化学习(一)

JAVAApache-CommonsCollections3.1反序列化RCE漏洞分析初学Java反序列化，做点笔记漏洞分析关注该组件中InvokerTransformer类的transform方法，实现如下
humble嘻·2022-11-27 16:51

搭建一个java反序列化靶场

0x00简介java反序列化漏洞研究需要。反序列化的过程中，会涉及一些接口类或者基类（举个例子简单的如：Map、List和Object）。应用也必须根据数据源，去判断选择哪一个具体的接口实现类。
leeezp·2022-11-27 16:11

[Java反序列化]—CommonsCollections4

0x01：这条链子前半段跟CC3一样，都是动态加载字节码的过程，后边的构造用到了两个类，PriorityQueue和TransformingComparatorGadgetchain:ObjectInputStream.readObject()PriorityQueue.readObject()...TransformingComparator.compare()InstantiaterTrans
snowlyzz·2022-11-27 15:00

vulhub——shiro反序列化getshell漏洞复现

攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。二、环境搭建三、漏洞复现访
普通网友·2022-11-23 12:54

Aapche Dubbo Java反序列化漏洞复现

工具下载将以下工具下载到攻击机中ZooKeeper—输入以下命令，下载完成后解压即可wgethttps://dlcdn.apache.org/zookeeper/zookeeper-3.8.0/apache-zookeeper-3.8.0-bin.tar.gzysoserial—输入下面命令，如果该方式下载不成功直接浏览器访问网站下载wgethttps://github.com/frohoff/y
Tauil·2022-11-23 12:45

web漏洞“小迪安全课堂笔记”反序列化PHP&JAVA

反序列化PHP反序列化热身题-无类问题-本地CTF反序列化小真题-无类执行-实例CTF反序列化练习题-有类魔术方法触发-本地网鼎杯2020青龙大真题-有类魔术方法触发-实例JAVA思维导图序列化和反序列化Java
rechd·2022-11-08 19:38

Java全栈工程师【已完结】辉夜姬

download：Java全栈工程师【已完结】辉夜姬Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看TransformingComparator
·2022-10-14 00:51

Java架构师成长直通车（40周完结无密）辉夜姬

download：Java架构师成长直通车（40周完结无密）辉夜姬Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看
·2022-10-14 00:50

Java架构师-十项全能40周完结无密计划v成本

download：Java架构师-十项全能40周完结无密计划v成本Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看
·2022-10-14 00:50

Java反序列化之C3P0链学习

0x01前言再多打一点基础吧，后续打算先看一看XStream，Weblogic，strusts2这些个0x02C3P0组件介绍C3P0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。目前使用它的开源项目有Hibernate，Spring等。JDBC是JavaDataBaseConnectivity的缩写，它是Java程序访问数据库的标准接口。使用
·2022-10-11 11:11

Java反序列化之原生

序列化与反序列化Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。序列化分为两大部分：序列化和反序列化。
·2022-09-14 18:08

Web安全之Java反序列漏洞总结

Java反序列化是指把字节序列恢复为Java对象的过程。序列化的作用实现了数据的持久化，通过序列化可以把数据永久的保存在硬盘上。利用序列化实现远程通信，即在网络上传递对象的字节序列。
大安全家·2022-08-25 14:45

java反序列化 构造函数_FastJson反序列化和构造函数之间的一点小秘密

各位看官大家下午好，FastJson想必大家都很熟悉了，很常见的Json序列化工具。今天在下要和大家分享一波FastJson反序列化和构造函数之间的一点小秘密。下面先进入大家都深恶痛绝的做题环节。哈哈哈.../***@创建人:Raiden*@Descriotion:*@Date:Createdin15:532020/3/21*@ModifiedBy:*/publicclassUser{privat
超威无敌紫貂·2022-08-19 05:23

Java反序列化6-Fastjson JdbcRowSetImpl 链及后续漏洞分析

Java反序列化6-FastjsonJdbcRowSetImpl链及后续漏洞分析0x00前言0x01前置知识0x02JdbcRowSetImpl链分析0x03简单小结0x04Fastjson的抗争史1.2.25
浔阳江头夜送客丶·2022-07-22 12:15

手把手教你写JAVA反序列化的POC

0x01前言前面，我们了解了java的序列化机制，也知道在什么情况下会出现漏洞，为了对反序列化漏洞有个更直观的认识，这里就来说一说存在于apachecommons-collections.jar中的一条pop链，要知道这个类库使用广泛，所以很多大型的应用也存在着这个漏洞，我这里就以weblogiccve-2015-4852来说说反序列化漏洞的具体利用方法。在复现分析cve-2015-4852的过程
Ms08067安全实验室·2022-07-13 09:11

java反序列化漏洞专项

背景条件:java的框架，java的应用程序，使用序列化，反序列化操作非常多。在漏洞挖掘中，代码审计中，安全研究中，反序列化漏洞是个重点项，不可忽视。尤其是java应用程序的rce，10个里面有7个是因为反序列化导致的rce漏洞。关于危害:漏洞挖掘中，一旦挖到反序列化漏洞，一般造成的风险极大。这里
飘渺红尘✨·2022-07-05 17:00

[Java反序列化]jdk原生链分析

jdk原生链分析原文链接作为jdk中目前发现的原生链，还是有必要要分析这个用法的。全文仅限尽可能还原挖掘思路JDK7u21在很多链中，TemplatesImpl一直发挥着不可或缺的作用，它是位于jdk源码中的一段Gadget:getOutputProperties()->newTransfo
Aur0ra*·2022-05-18 20:00

常见的Web漏洞——反序列化漏洞

目录漏洞简介漏洞成因漏洞可能出现的位置漏洞原理Python反序列化漏洞实验PHP反序列化漏洞实验serialize函数输出格式PHP中常用魔术方法Java反序列化漏洞实验FastJson反序列化漏洞简单实验
江左盟宗主·2022-05-16 20:20

java序列回显学习

java反序列化回显在很多不出网的情况下，一种是写webshell(内存嘛)，另一种就是回显，本文先学习回显，回显的主要方式有一下几种。
akka1·2022-04-21 11:00

【CVE-2016-4437】Shiro反序列化漏洞复现

攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。0x01影响范围ApacheShiro<=1.2.40x02环境搭建
yueyejian·2022-04-20 14:02

Java序列化和反序化

一、什么是序列化和反序列化Java序列化就是指把Java对象转换为字节序列的过程Java反序列化就是指把字节序列恢复为Java对象的过程。
i进击的攻城狮·2022-04-04 07:33

从原理学习Java反序列化

1序列化与反序列化1.1概念序列化：将数据结构或对象转换成二进制串的过程反序列化：将在序列化过程中所生成的二进制串转换成数据结构或者对象的过程1.2使用场景当你想把的内存中的对象状态保存到一个文件中或者数据库中时候。当你想用套接字在网络上传送对象的时候。当你想通过RMI传输对象的时候。2RMI2.1什么是RMIRMI（RemoteMethodInvocation）为远程方法调用，是允许运行在一个J
土豆分米猪·2022-03-18 09:00

Java 序列化

Java序列化是指把Java对象保存为二进制字节码的过程，Java反序列化是指把二进制码重新转换成Java对象的过程。一般的要实现Java对象序列化就需要实现Serializbale接口。
01_小小鱼_01·2022-02-14 03:53

红队渗透测试 | 攻防 | 学习 | 工具 | 分析 | 研究资料汇总

版下载链接目录导航相关资源列表攻防测试手册内网安全文档学习手册相关资源Checklist和基础安全知识产品设计文档学习靶场漏洞复现开源漏洞库工具包集合漏洞收集与Exp、Poc利用物联网路由工控漏洞收集Java
CKCsec·2022-02-08 12:46

URLDNS分析

学习了很久的Java基础，也看了很多的Java反序列化分析，现在也来分析学习哈最基础的URLDNS反序列化吧。Java反序列化基础为了方便数据的存储，于是乎有了现在的Java序列化于反序列化。
Pan3a·2021-12-05 18:00

反序列化漏洞

序列化与反序列化2.反序列化漏洞二、PHP反序列化漏洞1.php中必须出现反序列化的原因2.序列化和反序列化的函数3.php反序列化漏洞示例（PHP对象注入漏洞）4.PHP反序列化漏洞分析5.补充二、Java
图图奇遇记·2021-11-12 21:53

java反序列化漏洞 Apache CommonsCollections分析

漏洞成因在这个Java反序列化漏洞的利用链主要由三个部分组成：1、可以执行恶意代码的对象（在这个例子中即为Commons-collection中的Transformer类）。
LittleT1gger·2021-08-24 16:13

shiro RememeberMe 1.2.4反序列化漏洞

apacheshiro在java的权限及安全验证框架中占有重要的一席之地，在它编号为550的issue中爆出过严重的java反序列化漏洞
7hang_·2021-06-09 14:32

Jackson、Gson、Fastjson 序列化与反序列化使用简介

Java反序列化是指把传输的字节序列恢复为Java对象的过程。这两个过程使我们非常方便的存储和传输数据。
我问你瓜保熟吗·2021-05-18 10:13

C#实体类属性大写转JSON变成小写

C#服务实体类序列化后属性名称开头如果有大写使用JAVA反序列化工具时无法对应实体类小写字母，需要把序列化里面属性开头字母转换为小写字母；使用Newtonsoft中的[JosonProperty]标签publicclassStockStorageInfo
坑你坑你com·2021-04-29 08:18

Web 安全 之 Insecure deserialization

我们将重点介绍典型的场景，并演示一些PHP、Ruby和Java反序列化的具体示例。最后也会介绍一些避免不安全的反序列化漏洞的方法。利用不安全的反序列化通常比较困难。然而，它有时比你想象的要简单得多。
·2021-03-09 22:46

Web 安全 之 Insecure deserialization

我们将重点介绍典型的场景，并演示一些PHP、Ruby和Java反序列化的具体示例。最后也会介绍一些避免不安全的反序列化漏洞的方法。利用不安全的反序列化通常比较困难。然而，它有时比你想象的要简单得多。
·2021-03-09 22:46

什么是序列化和反序列化？

1、序列化和反序列化的定义：(1)Java序列化就是指把Java对象转换为字节序列的过程Java反序列化就是指把字节序列恢复为Java对象的过程。
西西爸de札记·2021-02-03 10:57

2020羊城杯CTF随缘Writeup

2020羊城杯CTF随缘Writeupdocker源码链接：https://github.com/k3vin-3/YCBCTF2020Web部分a_piece_of_java考点：源码审计、java反序列化
k3vin-3·2021-01-09 16:58

Java序列化浅析

定义Java序列化是指将Java对象保存为二进制字节码的过程；Java反序列化表示将二级制字节码转化为Java对象的过程。
红 ♬ 枫叶·2020-11-14 22:13

深入浅出谈Java安全之URLDNS链

那么这里先来了解一下Java反序列化和反序列化漏洞的一个产生。
Java正道的光·2020-10-08 16:09

Java安全之URLDNS链

那么这里先来了解一下Java反序列化和反序列化漏洞的一个产生。
·2020-10-06 00:00

一文带你彻底理解Java序列化和反序列化

Java序列化是指把Java对象转换为字节序列的过程，Java反序列化是指把字节序列恢复为Java对象的过程。反序列化：客户端重文件，或者网络中获取到文件以后，在内存中重构对象。
·2020-09-28 12:17

Python使用pickle进行序列化和反序列化的示例代码

Java反序列化可参见“Java反序列化漏洞实现”。二、代码
·2020-09-22 12:51

反序列化时构造函数不会执行

java反序列化:反序列化时构造函数不会执行转载于:https://www.cnblogs.com/lanfengniao/archive/2013/05/12/3074501.html
weixin_34055787·2020-09-17 09:43
上一页 1 2 3 4 5 6 7 8 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他