JAVA反序列化

JAVA反序列化漏洞_基础篇

1.JAVA反序列化概述Java序列化是指把Java对象转换为字节序列的过程便于保存在内存或文件中，实现跨平台通讯和持久化存储。
AxisX·2023-02-18 21:25

JAVA反序列化

利用java反序列化实现RCE。
sum3mer·2023-01-31 09:54

JAVA反序列化漏洞基础原理

JAVA反序列化漏洞基础原理1.1什么是序列化和反序列化？
洋洋cc·2023-01-06 10:52

java漏洞_Java反序列化漏洞的原理分析

*本文原创作者：Moonlightos，本文属FreeBuf原创奖励计划，未经许可禁止转载世界上有三件事最难：把别人的钱装进自己的口袋里把自己的想法装进别人的脑袋里让自己的代码运行在别人的服务器上前言Java
何明科·2023-01-06 10:20

从零开始的JAVA反序列化漏洞学习（一）

前言：大概是决定复现JAVA的CVE，第一个拿cve-2016-4437试试，但是之前没接触过JAVA，在历经磨难安装好IDEAmaven和依赖环境，跟着各位师傅的教程调试源代码发现大佬们的教程都是跟到可以控制传入readObject()的反序列化就没了，再细查便是什么CC4，CC3.1之类看上去很深奥的东西。深感基础不足，从头开始学JAVA的各种机制，如有错误疏漏不足欢迎在评论中指出。利用Jav
LDAx·2023-01-06 10:45

【Web安全】Ysoserial 简单利用

Ysoserial简单利用1.Java反序列化特征2.Ysoserial流量特征3.Ysoserial攻击流程3.1找到序列化接口3.2漏洞利用3.2.1常用命令3.2.2使用案例4.Ysoserial
Buffedon·2023-01-03 10:55

private static final long serialVersionUID = 1L 的作用

也可以用管道来传输到系统的其他程序中；java序列化是指把java对象转换为字节序列的过程，而java反序列化是指把字节序列恢复为java对象的过程3
灬猿小天·2022-12-29 11:26

fastjson反序列化漏洞原理及利用

fastjson反序列化漏洞原理及利用一、序列化/反序列化1.什么是序列化和反序列化1.1基本概念（1）Java序列化是指把Java对象转换为字节序列的过程，而Java反序列化是指把字节序列恢复为Java
Kaylll·2022-12-27 07:38

fastjson 序列化 不包括转义字符_Weblogic T3 反序列化历史漏洞

小编注本文是osword同学的Java安全学习笔记之一,将详细分析Weblogic历史,从CVE-2015至CVE-2019相关历史漏洞入手,记录学习Java反序列化漏洞的心得CVE-2015-4852
weixin_39522486·2022-12-27 07:37

SpringBoot的序列化和反序列化

序列化与反序列化1、认识序列化与反序列化Java序列化是指把Java对象转换为字节序列的过程，而Java反序列化是指把字节序列恢复为Java对象的过程。2、为什么要实现对象的序列化和反序列化？
Mounsey·2022-12-27 03:05

[Java反序列化]—CommonsCollections7(CC完结篇)

前言CC7又跟CC5差不多，也是换了另一种方式来调用get()java.util.Hashtable.readObjectjava.util.Hashtable.reconstitutionPutorg.apache.commons.collections.map.AbstractMapDecorator.equalsjava.util.AbstractMap.equalsorg.apache.c
Sentiment.·2022-11-27 16:38

[Java反序列化]—CommonsCollections1

前言本篇进行CommonsCollections1TransformedMap链和LazyMap链的学习。动态代理在分析LazyMap链时会用到动态代理，所以先了解一下什么是动态代理，而了解动态代理前，先看下什么是代理和静态代理代理代理是一种常用的设计模式，其目的就是为其他对象提供一个代理以控制对某个对象的访问。代理类负责为委托类预处理消息，过滤消息并转发消息，以及进行消息被委托类执行后的后续处理
Sentiment.·2022-11-27 16:08

[Java反序列化]—CommonsCollections5

对比CC5其实就是CC1的一种变形，CC1是通过AnnotationInvocationHandler.invoke()获取get()，而CC5则是通过TiedMapEntry.toString()，其余部分都是一样的可以前后对比下CC1:ObjectInputStream.readObject()AnnotationInvocationHandler.readObject()Map(Proxy)
Sentiment.·2022-11-27 16:08

[Java反序列化]—CommonsCollections3

前言在了解动态加载字节码文件后，开始学习CC3[Java安全]—动态加载字节码文件分析前篇了解了动态加载字节码文件，后来在审CC3时发现就是TemplatesImpl加载字节码的一个反序列化延伸，将本条链和CC1的结合起来就能直接命令执行只需要修改这部分即可，即：从原本的InvokerTransformer到Runtime.class到exec()变成了InvokerTransformer调用Te
Sentiment.·2022-11-27 16:37

Java反序列化2-CommonCollections利用链分析

Java反序列化2-CommonCollections利用链分析0x00前言0x01实验环境0x02利用链TransformerConstantTransformerInvokerTransformerChainedTransformer0x03POC
浔阳江头夜送客丶·2022-11-27 16:33

Java反序列化7-CommonsCollections6利用链分析

Java反序列化7-CommonsCollections6利用链分析以下是CC6三种实现方式ysoserialPOC：importorg.apache.commons.collections.Transformer
浔阳江头夜送客丶·2022-11-27 16:02

java反序列化利用工具香草,Java反序列化之与JDK版本无关的利用链挖掘

//使用ChainedTransformer组合利用链TransformertransformerChain=newChainedTransformer(transformers);MaplazyMap=LazyMap.decorate(newHashMap,transformerChain);TiedMapEntryentry=newTiedMapEntry(lazyMap,"haha");Ba
Rubix-Kai·2022-11-27 16:32

java反序列化和静态代码块,Java反序列化：基于CommonsCollections4的Gadget分析

一、背景及概要随着Java应用的推广和普及，Java安全问题越来越被人们重视，纵观近些年来的Java安全漏洞，反序列化漏洞占了很大的比例。就影响程度来说，反序列化漏洞的总体影响也明显高于其他类别的漏洞。在反序列化漏洞的利用过程中，攻击者会构造一系列的调用链以完成其攻击行为。如何高效的生成符合条件且可以稳定利用的攻击Payload成为了攻击链条中的重要一环，当前已经有很多现成的工具帮助我们完成Pay
王筱婷·2022-11-27 16:31

java反序列化 exp_java反序列化-ysoserial-调试分析总结篇(4)

1.前言这篇文章继续分析commoncollections4利用链，这篇文章是对cc2的改造，和cc3一样，cc3是对cc1的改造，cc4则是对cc2的改造，里面chained的invoke变成了instantiateTransformer，所以不用invoke反射调用方法，所以外层queue里面放的元素随意缩减版的函数调用栈如下图所示：2.利用链分析：调用还是从PriorityQueue.rea
看点君的圈子·2022-11-27 16:00

java反序列化 exp_JAVA反序列化exp及使用方法

这两天很火的java反序列化漏洞，看到乌云大牛已经开始刷分，于是找来实践一波exp来源ysoserial这个项目针对不同的java产品给出了简单的漏洞利用脚本．其中weblogic和jenkins提供python
神奇的战士·2022-11-27 16:30

[Java反序列化]—CommonsCollections1

环境JAVAcommons-collectionscommons-collections3.10x01:我是笨比，硬是学了两天才审明白。但是回头看还是挺简单的。。TransformedMap直接看类中的decorate()方法，第一个参数就是要修饰的Map对象，第二个和第三个参数都是实现了Transformer接口的类的对象，分别用来转换Map的键和值。publicclassTransformed
snowlyzz·2022-11-27 16:26

[JAVA反序列化] URLDNS

0x01URLDNS链子不能够RCE但是通常作为验证是否存在反序列化漏洞的一种方式，学习反序列化先从URLDNS开始，因为他短。我的环境有问题，直接来审，环境就不说了，参考其他师傅的吧源码：mirrors/frohoff/ysoserial·GitCode分析publicclassURLDNSimplementsObjectPayload{publicObjectgetObject(finalSt
snowlyzz·2022-11-27 16:25

Java反序列化回显

在Java反序列化漏洞利用中，结果回显是一个需要解决的问题，这里记录学习到的一些回显方法。
0x6b79·2022-11-27 16:52

java反序列化学习(一)

JAVAApache-CommonsCollections3.1反序列化RCE漏洞分析初学Java反序列化，做点笔记漏洞分析关注该组件中InvokerTransformer类的transform方法，实现如下
humble嘻·2022-11-27 16:51

搭建一个java反序列化靶场

0x00简介java反序列化漏洞研究需要。反序列化的过程中，会涉及一些接口类或者基类（举个例子简单的如：Map、List和Object）。应用也必须根据数据源，去判断选择哪一个具体的接口实现类。
leeezp·2022-11-27 16:11

[Java反序列化]—CommonsCollections4

0x01：这条链子前半段跟CC3一样，都是动态加载字节码的过程，后边的构造用到了两个类，PriorityQueue和TransformingComparatorGadgetchain:ObjectInputStream.readObject()PriorityQueue.readObject()...TransformingComparator.compare()InstantiaterTrans
snowlyzz·2022-11-27 15:00

vulhub——shiro反序列化getshell漏洞复现

攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。二、环境搭建三、漏洞复现访
普通网友·2022-11-23 12:54

Aapche Dubbo Java反序列化漏洞复现

工具下载将以下工具下载到攻击机中ZooKeeper—输入以下命令，下载完成后解压即可wgethttps://dlcdn.apache.org/zookeeper/zookeeper-3.8.0/apache-zookeeper-3.8.0-bin.tar.gzysoserial—输入下面命令，如果该方式下载不成功直接浏览器访问网站下载wgethttps://github.com/frohoff/y
Tauil·2022-11-23 12:45

web漏洞“小迪安全课堂笔记”反序列化PHP&JAVA

反序列化PHP反序列化热身题-无类问题-本地CTF反序列化小真题-无类执行-实例CTF反序列化练习题-有类魔术方法触发-本地网鼎杯2020青龙大真题-有类魔术方法触发-实例JAVA思维导图序列化和反序列化Java
rechd·2022-11-08 19:38

Java全栈工程师【已完结】辉夜姬

download：Java全栈工程师【已完结】辉夜姬Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看TransformingComparator
·2022-10-14 00:51

Java架构师成长直通车（40周完结无密）辉夜姬

download：Java架构师成长直通车（40周完结无密）辉夜姬Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看
·2022-10-14 00:50

Java架构师-十项全能40周完结无密计划v成本

download：Java架构师-十项全能40周完结无密计划v成本Java反序列化-CC2分析如何使用PriorityQueue和TransformingComparator作为切入点和跳板首先，让我们看看
·2022-10-14 00:50

Java反序列化之C3P0链学习

0x01前言再多打一点基础吧，后续打算先看一看XStream，Weblogic，strusts2这些个0x02C3P0组件介绍C3P0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。目前使用它的开源项目有Hibernate，Spring等。JDBC是JavaDataBaseConnectivity的缩写，它是Java程序访问数据库的标准接口。使用
·2022-10-11 11:11

Java反序列化之原生

序列化与反序列化Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。序列化分为两大部分：序列化和反序列化。
·2022-09-14 18:08

Web安全之Java反序列漏洞总结

Java反序列化是指把字节序列恢复为Java对象的过程。序列化的作用实现了数据的持久化，通过序列化可以把数据永久的保存在硬盘上。利用序列化实现远程通信，即在网络上传递对象的字节序列。
大安全家·2022-08-25 14:45

java反序列化 构造函数_FastJson反序列化和构造函数之间的一点小秘密

各位看官大家下午好，FastJson想必大家都很熟悉了，很常见的Json序列化工具。今天在下要和大家分享一波FastJson反序列化和构造函数之间的一点小秘密。下面先进入大家都深恶痛绝的做题环节。哈哈哈.../***@创建人:Raiden*@Descriotion:*@Date:Createdin15:532020/3/21*@ModifiedBy:*/publicclassUser{privat
超威无敌紫貂·2022-08-19 05:23

Java反序列化6-Fastjson JdbcRowSetImpl 链及后续漏洞分析

Java反序列化6-FastjsonJdbcRowSetImpl链及后续漏洞分析0x00前言0x01前置知识0x02JdbcRowSetImpl链分析0x03简单小结0x04Fastjson的抗争史1.2.25
浔阳江头夜送客丶·2022-07-22 12:15

手把手教你写JAVA反序列化的POC

0x01前言前面，我们了解了java的序列化机制，也知道在什么情况下会出现漏洞，为了对反序列化漏洞有个更直观的认识，这里就来说一说存在于apachecommons-collections.jar中的一条pop链，要知道这个类库使用广泛，所以很多大型的应用也存在着这个漏洞，我这里就以weblogiccve-2015-4852来说说反序列化漏洞的具体利用方法。在复现分析cve-2015-4852的过程
Ms08067安全实验室·2022-07-13 09:11

java反序列化漏洞专项

背景条件:java的框架，java的应用程序，使用序列化，反序列化操作非常多。在漏洞挖掘中，代码审计中，安全研究中，反序列化漏洞是个重点项，不可忽视。尤其是java应用程序的rce，10个里面有7个是因为反序列化导致的rce漏洞。关于危害:漏洞挖掘中，一旦挖到反序列化漏洞，一般造成的风险极大。这里
飘渺红尘✨·2022-07-05 17:00

[Java反序列化]jdk原生链分析

jdk原生链分析原文链接作为jdk中目前发现的原生链，还是有必要要分析这个用法的。全文仅限尽可能还原挖掘思路JDK7u21在很多链中，TemplatesImpl一直发挥着不可或缺的作用，它是位于jdk源码中的一段Gadget:getOutputProperties()->newTransfo
Aur0ra*·2022-05-18 20:00

常见的Web漏洞——反序列化漏洞

目录漏洞简介漏洞成因漏洞可能出现的位置漏洞原理Python反序列化漏洞实验PHP反序列化漏洞实验serialize函数输出格式PHP中常用魔术方法Java反序列化漏洞实验FastJson反序列化漏洞简单实验
江左盟宗主·2022-05-16 20:20

java序列回显学习

java反序列化回显在很多不出网的情况下，一种是写webshell(内存嘛)，另一种就是回显，本文先学习回显，回显的主要方式有一下几种。
akka1·2022-04-21 11:00

【CVE-2016-4437】Shiro反序列化漏洞复现

攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。0x01影响范围ApacheShiro<=1.2.40x02环境搭建
yueyejian·2022-04-20 14:02

Java序列化和反序化

一、什么是序列化和反序列化Java序列化就是指把Java对象转换为字节序列的过程Java反序列化就是指把字节序列恢复为Java对象的过程。
i进击的攻城狮·2022-04-04 07:33

从原理学习Java反序列化

1序列化与反序列化1.1概念序列化：将数据结构或对象转换成二进制串的过程反序列化：将在序列化过程中所生成的二进制串转换成数据结构或者对象的过程1.2使用场景当你想把的内存中的对象状态保存到一个文件中或者数据库中时候。当你想用套接字在网络上传送对象的时候。当你想通过RMI传输对象的时候。2RMI2.1什么是RMIRMI（RemoteMethodInvocation）为远程方法调用，是允许运行在一个J
土豆分米猪·2022-03-18 09:00

Java 序列化

Java序列化是指把Java对象保存为二进制字节码的过程，Java反序列化是指把二进制码重新转换成Java对象的过程。一般的要实现Java对象序列化就需要实现Serializbale接口。
01_小小鱼_01·2022-02-14 03:53

红队渗透测试 | 攻防 | 学习 | 工具 | 分析 | 研究资料汇总

版下载链接目录导航相关资源列表攻防测试手册内网安全文档学习手册相关资源Checklist和基础安全知识产品设计文档学习靶场漏洞复现开源漏洞库工具包集合漏洞收集与Exp、Poc利用物联网路由工控漏洞收集Java
CKCsec·2022-02-08 12:46

URLDNS分析

学习了很久的Java基础，也看了很多的Java反序列化分析，现在也来分析学习哈最基础的URLDNS反序列化吧。Java反序列化基础为了方便数据的存储，于是乎有了现在的Java序列化于反序列化。
Pan3a·2021-12-05 18:00

反序列化漏洞

序列化与反序列化2.反序列化漏洞二、PHP反序列化漏洞1.php中必须出现反序列化的原因2.序列化和反序列化的函数3.php反序列化漏洞示例（PHP对象注入漏洞）4.PHP反序列化漏洞分析5.补充二、Java
图图奇遇记·2021-11-12 21:53

java反序列化漏洞 Apache CommonsCollections分析

漏洞成因在这个Java反序列化漏洞的利用链主要由三个部分组成：1、可以执行恶意代码的对象（在这个例子中即为Commons-collection中的Transformer类）。
LittleT1gger·2021-08-24 16:13
上一页 1 2 3 4 5 6 7 8 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他