重新搭建溯源项目

1.dva init

$ mkdir demo && cd demo

$ dva init

2.引入react

npm install --save react react-dom

3.引入ant-design

$ npm install antd --save

3. 引入文本编辑器 wangeditor

$npm install wangeditor

4,安装环境分为两种开发环境和正式环境

开发环境devDependencies(如会有一些测试依赖之类的)

npm install packagename -- save - dev


正式环境 dependencies

npm install packagename




  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Shiro反序列化攻击溯源可以追溯到很多年前,而且在攻防比赛和红队评估项目中仍然会遇到。虽然主站可能不会遇到Shiro漏洞,但是在主站的边缘域名、全资子公司的子域名、边缘资产、微信公众号、微信小程序等地方,仍然可能会发现该漏洞的存在。目前,Shiro反序列化漏洞变得越来越难以利用,其中一些原因可能是密钥较为特殊,无法绕过WAF防护,或者找不到可用的利用链,导致无法获取权限。\[1\] 在解决Shiro反序列化漏洞时,一个重要的步骤是将不同版本的Weblogic的Coherence利用链整合到ysoserial工具包中,以便直接调用ysoserial工具生成Shiro反序列化的POC。然而,这也带来了一个大问题,不同版本的Weblogic的Coherence库的SUID是不同的。如果SUID不匹配,就无法成功反序列化。虽然网上有一些文章总结了Weblogic下不同版本Coherence组件的不同SUID,但是实际测试结果与网上给出的结果可能不太一样。为了解决这个问题,一种简单的方法是使用URLClassLoader类加载不同版本的Coherence的jar包,将不同Weblogic版本的Coherence POC融合到ysoserial工具包中。\[2\] 关于Shiro反序列化攻击的溯源,有人在测试Weblogic反序列化漏洞时想到,如果使用了Shiro组件的网站部署在Weblogic中间件下,完全可以利用Weblogic中间件的Coherence组件的利用链进行攻击。Weblogic反序列化漏洞通常是通过T3、IIOP协议发送一个序列化数据包,只要相关类不在Weblogic的黑名单中,服务器就会执行恶意代码。同样,如果使用Shiro组件处理这个序列化数据包,只要中间件是Weblogic,也应该能够成功反序列化。此外,通过构造的反序列化数据包不经过T3、IIOP流程,可能也不受Weblogic黑名单的限制。因此,在测试中发现在本地搭建的各种版本的Weblogic虚拟机环境中是可行的,但是在过程中也遇到了许多困难。\[3\] #### 引用[.reference_title] - *1* *2* *3* [第17篇:Shiro反序列化在Weblogic下无利用链的拿权限方法](https://blog.csdn.net/m0_71692682/article/details/125580309)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值