java反序列化

Java反序列化回显解决方案

前言  大多数Java反序列化漏洞都能执行命令，导致RCE。小伙伴们有没有想过网络上大
明月清水·2020-06-26 15:37

漫谈Java反序列化

前言  Java的反序列化漏洞探索出了Java安全的新纪元。开发人员为什么要反序列化呢？众所周知，用户和服务器进行交互时，会传输一下数据，数据传输前需要格式化，将数据转化成服务器认可的格式。比例：JSON、XML。  JSON和XML的优点是兼容性比较强，是通用的数据交互格式。缺点是不支持复杂的数据类型。故开发人员面对需要复杂的数据类型是将数据反序列化，以来达数据交互的目的。  Java程序在运行
明月清水·2020-06-26 15:37

Java反序列化漏洞之——weblogic反序列化漏洞（CVE-2018-2628）

Java反序列化是指把字节序列恢复为Java对象的过程，ObjectInputStream类的readObject()方法用于反序列化。
Stephen Wolf·2020-06-26 04:56

软件系统安全——操作系统安全技术初步

操作系统安全设计第一章、操作系统安全技术初步第1讲、系统安全引言互联网漏洞用户信息泄密、伊朗核反应堆受到APT攻击、乌克兰电力受到APT攻击、openSSL心脏出血漏洞、JAVA反序列化漏洞、O2O软件漏洞众多
superboy_ZJC·2020-06-26 00:05

Apache Shiro Java反序列化漏洞复现-踩坑记录

简介这个漏洞属于java反序列化漏洞的一种，shiro是java的一个开发框架，能够快速的搭建好应用程序的环境。
飞鱼的企鹅·2020-06-25 22:57

java反序列化漏洞学习

前言在学习java的过程中，了解java中常见的安全漏洞，本文记录了java反序列化漏洞的学习。基本概念什么是java序列化和反序列化？
BerL1n·2020-06-25 19:53

JAVA反序列化漏洞简单理解

反序列化原理关于反序列化的原理不在多说，和php类似，序列化的数据是方便存储的，而存储的状态信息想要再次调用就需要反序列化Java反序列化的API实现实现方法Java.io.ObjectOutputStreamjava.io.ObjectInputStream
秋水sir·2020-06-25 09:10

【技术分享】Java反序列化漏洞从理解到实践

一、前言在学习新事物时，我们需要不断提醒自己一点：纸上得来终觉浅，绝知此事要躬行。这也是为什么我们在学到知识后要付诸实践的原因所在。在本文中，我们会深入分析大家非常熟悉的Java发序列化漏洞。对我们而言，最好的实践就是真正理解手头掌握的知识，并可以根据实际需要加以改进利用。本文的主要内容包括以下两方面：1.利用某个反序列化漏洞。2.自己手动创建利用载荷。更具体一点，首先我们会利用现有工具来实际操作
qq_27446553·2020-06-25 03:01

Java反序列化漏洞之weblogic本地利用实现篇

本文原创作者：rebeyond0×00前言weblogic在国内的的应用范围比较广，支撑着很多企业的核心业务，所以一直没有把weblogic的利用工具发布出来。但是最近很多甲方的朋友问我有没有方便的工具检测他们公司部署在内网的weblogic，其实这个漏洞公布了这么久，维护人员也都意识到了这个漏洞的危害性，只是网上公开的检测方法易用性不是太好，检测起来比较麻烦，所以就有了这篇文章。0×01思路因为
qq_27446553·2020-06-25 03:58

关于java反序列化漏洞（java deserialization vulnerability）

关于java反序列化漏洞（adeserializationvulnerability）该漏洞的详情请见：http://www.oracle.com/technetwork/topics/security
msdnchina·2020-06-24 15:59

java反序列漏洞原理分析及防御修复方法

Java反序列化漏洞原理谈起java反序列化漏洞，相信很多人都不会陌生，这个在2015年首次被爆出的漏洞，几乎横扫了包括Weblogic、WebSphere、JBoss、Jenkins等在内的各大javawebserver
美创安全实验室·2020-06-24 12:04

修复weblogic的JAVA反序列化漏洞的多种方法--预防GetShell攻击

0x00前言目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁，目前看到的修复方法无非两条：使用SerialKiller替换进行序列化操作的ObjectInputStream
lishuai05251986·2020-06-24 06:24

【信息安全服务】代码审计之反序列化漏洞分析

1.Java反序列化序列化是用于将对象转换成二进制串存储起来，而反序列化则是相反，将二进制串转化为对象。Java的反射机制可以为日常开发提供众多遍历，但这样的设计同样存在安全风险。
Keyli0n·2020-06-24 00:13

Apache Shiro 1.2.4反序列化漏洞分析

0×00ApacheShiro这个组件的漏洞很久之前就爆出来了，但是最近工作中又遇到了，刚好最近也在看Java反序列化的东西，所以决定拿出来再分析一下，期间也遇到了一些奇怪的问题。
架构师成长营·2020-06-23 21:15

Java序列化与反序列化

1.Java序列化与反序列化Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。
iteye_4537·2020-06-23 19:08

Java反序列化漏洞修复方案

10.2.6.0-10.3.0.0-10.3.1.0-10.3.2.0-10.3.3.0-10.3.4.0-10.3.5.0-10.3.6.0-12.1.1.0-12.1.2.0-12.1.3.0-12.2.1.0JAVA
_Simba·2020-06-23 17:25

【入坑JAVA安全】fastjson中的jndi注入

0x02fastjson反序列化特点不同于我们之前提到的java反序列化，fastjson的序列化有其自身特点，我们通过一些小demo来展示如何使用fastjson。我们常说的
灰色世界的阿信·2020-06-23 13:38

【入坑JAVA安全】序列化与反序列化

java反序列化漏洞与php反序列化漏洞的相似之处?这一章，我们只需要搞清楚前面三个问题就行了，其实java反序列化漏洞的原理很简单，只是各个POP链比较复杂。
灰色世界的阿信·2020-06-23 13:38

Java反序列化与对象的创建

Java与单例模式一文中提到了，Java可以通过反序列化来破坏单例，其底层就是利用反射，通过一个代表无参构造方法的Constructor对象，使用其newInstance()方法来创建对象。但是，在后续的测试代码中发现，其实目标类的无参构造方法并没有执行！所以，对于这个对象的创建过程并不是我一开始想的那样。请看下面的例子：//目标类publicclassElvisimplementsSeriali
Viking_bird·2020-06-23 10:13

修而未复：说说WebLogic那修不完的Java反序列化漏洞

编者说明：这篇文章初稿写在OracleCPU补丁发布之后，考虑到文章内容的影响，并未在当时发布，WebLogic的Java反序列化漏洞，已经修复了多次，最终的修复仍然未彻底解决问题。
Enmotech·2020-06-23 06:52

Weblogic修复"Java反序列化"过程远程命令执行漏洞

1.查找文档说明，在https://support.oracle.com上找到补丁的说明文档如下：CVE-2015-4852PatchAvailabilityDocumentforOracleWebLogicServerComponentofOracleFusionMiddleware(DocID2075927.1)APPLIESTO:OracleWebLogicServer-Version10.
cizhanliang7973·2020-06-22 23:56

Commons Collections Java反序列化漏洞深入分析

在2015年11月6日FoxGloveSecurity安全团队的@breenmachine发布了一篇长博客里，借用Java反序列化和ApacheCommonsCollect
大树叶·2020-06-22 18:57

由Java反序列化对象异常想到的

今天写代码时候遇到一个异常，异常信息如下：Causedby:java.lang.RuntimeException:java.util.concurrent.ExecutionException:org.springframework.data.redis.serializer.SerializationException:Cannotdeserialize;nestedexceptionisorg
一生奋斗只为梦·2020-06-22 17:11

WebLogic CVE-2020-2551漏洞

从0开始学习复现这个洞不免又会设计到Java反序列化漏洞中那些老生常谈的名词理解，涉及到Java反序列化中的一些协议、行为、结构。RMI、JRMP
Candyys·2020-06-21 18:01

渗透测试之端口对应漏洞总结

tomcat--80/8080/8009manager弱口令put上传webshellHTTP慢速攻击ajr文件包含漏洞-CVE-2020-1938Jboss--8080后台弱口令console后台部署war包JAVA
Adminxe·2020-06-21 16:44

JAVA反序列化漏洞防护组件使用

详情  通过给默认的java.io.ObjectInputStream添加Class名称黑名单，防止java反序列化漏洞，程序默认自带的类黑名单(JAVA反序列化黑名单类)包含目前已知的所有可以用于构造反序列化调用方法链的类名称
Melody-董宇飞飞·2020-06-21 15:36

JAVA反序列化漏洞研究

JAVA反序列化漏洞研究引言调试环境的搭建漏洞分析攻击代码的分析参考引言参考目前网上JAVA反序列化漏洞文章，本地搭建漏洞模拟环境，利用开源的JAVA反序列化漏洞攻击工具，模拟黑客攻击场景，并分析反序列化攻击的通信行为
fate9091·2020-06-21 15:45

java反序列化漏洞实战

准备：域名一个，用于增加NS解析，判断是否存在反序列化漏洞。公网IP服务器一台，用于搭建DNS代理，抓包判断。dnschef，DNS代理ysoserial.jar生成payload.简单的python脚本，调用ysoserial.jar并发送payload首先域名增加一条A记录解析到公网IP服务，然后增加一条NS记录指向这条A记录。然后公网IP服务器开防火墙端口53，记得是UDP协议。然后运行dn
weixin_34009794·2020-06-21 11:04

WebLogic Java反序列化漏洞终极建议

title:WebLogicJava反序列化漏洞终极建议author:rocklei123tags:JavaWebLogiccategories:Springdate:2018-09-2509:27:330
rocklei123·2020-06-21 07:51

Java反序列化漏洞详解

Java反序列化漏洞原理序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。
Endeavour-id·2020-06-21 04:28

从0学习WebLogic CVE-2020-2551漏洞

最近遇到的实际环境为weblogic，所以这里顺便总结下测2020-2551的一些相关的点2551也是学习了很多优秀的师傅文章，非常感谢0X00漏洞利用基础学习从0开始学习复现这个洞不免又会设计到Java
卿's Blog·2020-06-21 04:18

Spring framework deserialization RCE漏洞分析以及利用

11月初爆发的JAVA反序列漏洞已经过去几个月了，各大安全研究人员对该漏洞的利用技巧也是五花八门，JAVA反序列化漏洞的爆发引起了很多漏洞研究者的注意，国外安全研究人员（zerothoughts）最近在
架构师成长营·2020-06-21 02:14

浅显易懂的JAVA反序列化入门

所有在刚刚接触到java反序列化漏洞的时候也不知道怎么下手，因为两者差别还是比较大，所以希望自己的见解能够对刚接触这块的人有所帮助我的源码和笔记Github地址在文章的最后这篇文章之前是发到先知上https
sijidou·2020-06-13 18:00

ObjectOutputStream和ObjectInputStream对对象进行序列化和反序列化

1Java序列化和反序列化简介Java序列化是指把对象转换为字节序列的过程，而Java反序列化是指把字节序列恢复为java对象的过程。
homeSicker·2020-05-26 11:00

JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）复现

0x00漏洞介绍该漏洞为Java反序列化错误类型，存在于Jboss的HttpInvoker组件中的ReadOnlyAccessFilter过滤器中。
ffx_1·2020-04-07 15:00

java序列化与反序列化

Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。
n油炸小朋友·2020-03-27 04:28

Struts2 : S2 - 052

ps：关于Java反序列化原理，请参见：Java反序列化漏洞原理漏洞介绍ApacheStruts2被曝存在远程命令执行漏洞，漏洞编号S2-052，CVE编号CVE-2017-9805。
Jewel591·2020-03-20 18:31

java反序列化-ysoserial-调试分析总结篇(7)

前言：CommonsCollections7外层也是一条新的构造链，外层由hashtable的readObject进入，这条构造链挺有意思，因为用到了hash碰撞yso构造分析：首先构造进行rce所需要的转换链，这里也用的是chianed里面套Constantrans+invoketrans的方法接着构造两个hashmap，通过lazymap的decorate用chained进行装饰后放进hash
tr1ple·2020-03-06 22:00

java反序列化-ysoserial-调试分析总结篇(6)

前言：这篇记录CommonsCollections6的调试，外层也是新的类，换成了hashset，即从hashset触发其readObject()，yso给的调用链如下图所示利用链分析：首先在hashset内部首先获取器容量与负载因子等操作，然后创建hashmap，将ObjectinputStream中的对象放到hashmap中，即调用hashmap.put函数，可以看到此时实际上放进去的是一个T
tr1ple·2020-03-05 22:00

JAVA反序列化中的反射链

从反射链的构造看JAVA反序列化http://www.freebuf.com/news/150872.html构造反射链：Transformer类，源码解释为从一个类转化为另一个类。
sum3mer·2020-03-05 02:07

java反序列化-ysoserial-调试分析总结篇(5)

前言：这篇文章继续分析commonscollections5，由如下调用链可以看到此时最外层的类不是annotationinvoke，也不是priorityqueue了，变成了badattribute该类要求没有配置securitymanager利用链分析：首先在badAttribute的readObject中，调用了valObj.toString()，其中valObj中存储TiedMapEntr
tr1ple·2020-03-04 23:00

java反序列化-ysoserial-调试分析总结篇(4)

1.前言这篇文章继续分析commoncollections4利用链，这篇文章是对cc2的改造，和cc3一样，cc3是对cc1的改造，cc4则是对cc2的改造，里面chained的invoke变成了instantiateTransformer，所以不用invoke反射调用方法，所以外层queue里面放的元素随意缩减版的函数调用栈如下图所示：2.利用链分析：调用还是从PriorityQueue.rea
tr1ple·2020-03-03 22:00

java反序列化-ysoserial-调试分析总结篇(3)

前言：这篇文章主要分析commoncollections3，这条利用链如yso描述，这个与cc1类似，只是反射调用方法是用的不是invokeTransformer而用的是InstantiateTransformer，整个调用过程如下图利用链分析：如上图所示，入口点还是Annotationinvoationhandler的Entryset此时将会调用membervalues.get，其中var4位e
tr1ple·2020-03-01 21:00

java反序列化-ysoserial-调试分析总结篇(2)

前言：这篇主要分析commonCollections2，调用链如下图所示：调用链分析：分析环境：jdk1.8.0反序列化的入口点为src.zip!/java/util/PriorityQueue.java此时将会对队列调用siftdown函数，其中队列中包含了两个元素，其中一个即为templatesImpl恶意类接下来调用siftDownUsingConparator函数在这里将调用Transfo
tr1ple·2020-02-29 20:00

java反序列化-ysoserial-调试分析总结篇(1)

前言：ysoserial很强大，花时间好好研究研究其中的利用链对于了解java语言的一些特性很有帮助，也方便打好学习java安全的基础，刚学反序列化时就分析过commoncollections，但是是跟着网上教程，自己理解也不够充分，现在重新根据自己的调试进行理解，这篇文章先分析URLDNS和commonCollections1利用链分析：1.urldns调用链如上图所示，由hashmap的key
tr1ple·2020-02-28 21:00

Java序列化

什么是Java序列化Java序列化是将对象的状态保存为一组字节，Java反序列化是将这些字节组装成对象。必须注意地是，对象序列化保存的是对象的"状态"，即它的成员变量。
黄二的NPE·2020-02-24 20:24

利用Java反序列化漏洞在Windows上的挖矿实验

最近，安全社区中有很多人都在讨论如何利用Java反序列化漏洞来攻击类似Apache、SOLR和WebLogic之类的系统。不说废话，我们直接进入正题。
怪物小姐姐·2020-02-24 17:19

java序列化那些事儿

java序列化是指把java对象转换为字节序列的过程；而java反序列化是指把字节序列恢复为java对象的过程。
破东风CAFEBABY·2020-02-19 06:55

CommonCollection1分析

前置知识java反序列化java动态代理机制java动态代理想象一个场景，如果我们有一个展示图片的功能，可以展示大图，缩略图和小图，而我们需要在展示图片的时候加上我们自己的水印，代码应该是这样：packageflight.proxy.askldfjlasdk
f1ight·2020-02-05 14:19

blackhat-New-Exploit-Technique-In-Java-Deserialization-Attack-笔记

java反序列化的攻击场景：1.远程服务接收了不被信任的反序列化数据2.classpath中存在序列化所需要的类3.序列化的类中存在危险函数从上面3点看出和以前看php的反序列化攻击场景从宏观上看差不多
tr1ple·2020-02-04 18:00
上一页 3 4 5 6 7 8 9 10 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他