分类 "安全研究" 下的文章

0x01 写在前面前段时间补上了迟迟没有写的 文件包含漏洞原理与实际案例介绍一文,在其中就提到了 Thymeleaf SSTI 漏洞,昨天在赛博群里三梦师傅扔了一个随手挖的 CVE——Thymeleaf SSTI Bypass,想着之...

0x01 写在前面jdk8u20原生反序列化漏洞是一个非常经典的漏洞,也是我分析过最复杂的漏洞之一。在这个漏洞里利用了大量的底层的基础知识,同时也要求读者对反序列化的流程、序列化的数据结构有一定的了解本文结合笔者自身对该漏洞的了解,写...

JEP2900x01 什么是JEP?JDK Enhancement Proposal 简称JEP,是 JDK 增强提议的一个项目,目前索引编号已经达到了JEP415,本文重点来谈谈什么是JEP290,JEP290做了哪些事,JEP29...

0x01 写在前面同前一篇的分析方法一样,推荐复制demo代码,然后一步一步跟随笔者的分析进行debug调试跟随,这样跟能够帮助读者理解此文。0x02 流程分析在上一篇《 序列化流程分析总结》一文中我提到了所谓的序列化即是一个将对象写...

为什么会有这个公众号作为过去式的 blog 其实已经不太能满足移动端读者的需要,很多时候人们更愿意利用碎片化的时间、利用手机来阅读信息因此也萌发了要搞一个手机端平台的想法其实写博客对于我来说是一个有了将近10年的习惯(虽然以前写的文章...

目录0x01 写在前面本文写的比较细,推荐复制demo代码,然后一步一步跟随笔者的分析进行debug调试跟随,这样跟能够帮助读者理解此文。0x02 流程分析所谓的序列化即是一个将对象写入到IO流中的过程。序列化的步骤通常是首先创建一个...

目录0x01 写在前面JDK7u21原生gadget链的构造十分经典,在对于其构造及思想学习后,写下本文作为笔记。0x02 所需的知识点JDK7u21这个链用了很多的Java基础知识点,主要如下:Java 反射javassist 动态...