log4j2搭建复现探究
- 前言 log4j2应该是在21年左右爆出来的漏洞，影响甚大，当时只要用了apache log4j的这个组件，那么很可能就存在潜在危险了。之前也遇见过这个漏洞，当时是直接网上一搜直接用的，今天来分析一下这个漏洞。 漏洞简介 Apache log4j是基于java的日志工具。开发者 …
⋅˚₊‧ ୨ java安全 tag ୧ ‧₊˚ ⋅
JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477)
- JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477) 环境搭建 git clone https://github.com/jflyfox/jfinal_cms.git 拉取5.1.0版本。 Tomcat 9.0.96 JDK 17.0.1 …
初探Fastjson漏洞
- fastjson是什么 fastjson是阿里巴巴的开源的JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到Java Bean。 环境搭建 导入依赖 这里先演示 1.2.24 …
JNDI注入初学习
- JNDI注入初学习 JNDI简介 JNDI(Java Naming and Directory Interface)是Java提供的Java命名和目录接口。通过调用JNDI的API可以定位资源和其他程序对象。 也就是说如果程序定义了JNDI的接口，我们则可以通过该接口API访问 …
java安全CC6链分析
- 前言 前面已经分析过了cc1链子，但是这个链子有jdk限制，在Java 8u71以后，这个链子就不能再利用了。主要是因为sun.reflect.annotation.AnnotationInvocationHandler#readObject里面逻辑变换了，没有setValue …
java安全CC1链分析
- 1.前言 Apache Commons Collections 是 Apache 软件基金会的一个子项目，提供了许多有用的 Java 集合框架的实现和扩展。它旨在填补 Java 标准类库中集合框架的一些不足，并提供了一系列的集合实现和工具类，以帮助开发者更加方便地处理集合数据。 …
java序列化和反序列化基础
- 1.序列化和反序列化 序列化:对象序列化的最主要的用处就是在传递和保存对象的时候，保证对象的完整性和可传递性。序列化是把对象转换成有序字节流，以便在网络上传输或者保存在本地文件中。核心作用是对象状态的保存与重建。 反序列化:从本地或者网络上获取经过序列化的对象字节流，通过反序列 …
java反射机制
- 反射概念 JAVA反射机制是在运行状态中，对于任意一个类，都能够知道这个类的所有属性和方法；对于任意一个对象，都能够调用它的任意一个方法和属性；这种动态获取的信息以及动态调用对象的方法的功能称为java语言的反射机制。 Class类 在 java 世界里，一切皆对象。从某种意义 …