1.Java 常考点及出题思路:
考点技术:xxe,spel 表达式,反序列化,文件安全,最新框架插件漏洞等。
一般都会设法间接给出源码或相关配置提示文件,间接性源码或直接源码体现等形式,否则单纯黑盒难度比较大。
ctf web信息泄露总结:
参考:https://www.cnblogs.com/xishaonian/p/7628153.html
00x1 .ng 源码泄露
00x2 git 源码泄露
00x3 .DS_Store 文件泄漏
00x4 网站备份压缩文件
00x5 SVN 导致文件泄露
00x6 WEB-INF/web.xml 泄露
00x7 CVS 泄漏
必备知识点:
反编译,基础的 Java 代码认知及审计能力,熟悉相关最新的漏洞,常见漏洞等
2.Java 简单逆向解密-----【buuoReverse】----逆向源码
class文件直接拖到idea反编译一下,分析源码,编写py脚本解密。
3.【RoarCTF-2019-easy_java-buuoj】-配置到源码
首先打开题目发现URL可能存在任意文件下载漏洞,但是却无法以get方式下载请求,必须post请求下载,下载/WEB-INF/we