漏洞复现
hobby云说
你凝视深渊时,深渊也在凝视你
展开
-
hacker远程控制的艺术之fastjson-1.2.47利用原理分析
前言 Fastjson是咱们中国人发明的一个Java库,来自阿里巴巴的温少,它可以把Java对象转换为Json格式,同时,它也可以把json字符串转换为Java对象。它可以操作任何的Java对象,即便是一些预先存在,但没有源码的对象。正是因为这一点,给了安全界大佬们可乘之机,自1.2.24版本开始,温少就一直和他们不断斡旋,打着回合战。修复一个版本,过没多久又来一个绕过,攻防过程好不精彩。 截止今天现在2020.11.15 22:30,已经更新到1.2.75版本了,在此版本之...原创 2020-11-19 10:45:55 · 788 阅读 · 2 评论 -
hacker远程控制的艺术之fastjson1.2.47漏洞利用
前言 Fastjson能将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。从一出生到现在,几乎凭阿里巴巴温少一己之力在维护着,从1.2.24版本到现在,一直和各路白帽/黑客进行着拉锯战,不同版本有着不同的漏洞利用点,今天我着重复现1.2.47版本的漏洞,本文会大致讲解利用过程和原理,至于源码层次的原理实在太多,之后有空单独出一篇文章。 这里有个小插曲,我复现洞后,告诉开发同学这个消息,被问了句,既然只要升级版本的话,你跟我说就好...原创 2020-11-06 16:32:00 · 571 阅读 · 0 评论 -
hacker远程控制的艺术之Shiro反序列漏洞利用
前言过去的几个月里,发生了太多的事,导致多日未更新,不过,却发现粉丝不减反增,让我甚是感慨,感谢各位的关注,话不多说,开干。近日,由于种种不可描述的原因,扫到个Shiro反序列化漏洞,于是乎开始研究如何复现,便有了下面这篇文章,我将会从以下几个方面进行展开讲述:1.Shiro反序列化漏洞是什么;2.如何复现shiro反序列化漏洞;3.如何修复Shiro反序列化漏洞;Shiro反序列化漏洞是什么?我们先来了解下Shiro是什么吧,百度曰:Apache Shiro是一个强大且易用的Java.原创 2020-10-27 11:26:40 · 1183 阅读 · 0 评论