CTF—Java 反编译&XXE&反序列化

1.Java 常考点及出题思路：
考点技术：xxe，spel 表达式，反序列化，文件安全,最新框架插件漏洞等。

一般都会设法间接给出源码或相关配置提示文件，间接性源码或直接源码体现等形式，否则单纯黑盒难度比较大。

ctf web信息泄露总结：
参考：https://www.cnblogs.com/xishaonian/p/7628153.html
00x1 .ng 源码泄露
00x2 git 源码泄露
00x3 .DS_Store 文件泄漏
00x4 网站备份压缩文件
00x5 SVN 导致文件泄露
00x6 WEB-INF/web.xml 泄露
00x7 CVS 泄漏

必备知识点：
反编译，基础的 Java 代码认知及审计能力，熟悉相关最新的漏洞，常见漏洞等

2.Java 简单逆向解密-----【buuoReverse】----逆向源码

class文件直接拖到idea反编译一下，分析源码，编写py脚本解密。

3.【RoarCTF-2019-easy_java-buuoj】-配置到源码

首先打开题目发现URL可能存在任意文件下载漏洞，但是却无法以get方式下载请求，必须post请求下载，下载/WEB-INF/we