Java反序列化（十）CommonsBeanutils分析及Shiro中的利用

最新推荐文章于 2024-06-16 18:15:00 发布
最新推荐文章于 2024-06-16 18:15:00 发布
阅读量481 收藏
点赞数 1
分类专栏： Java 文章标签： java struts html
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41918771/article/details/120842077
版权
本文详细分析了Apache Commons Beanutils库在Java反序列化过程中的利用链，特别是在Shiro 550漏洞中的应用。文章探讨了如何解决在Shiro中利用CommonsBeanutils的难点，包括serialVersionUID不匹配问题，并提供了一个无依赖的Shiro反序列化利用链，利用了Java核心类库中的CaseInsensitiveComparator。
摘要由CSDN通过智能技术生成

前言

Apache Commons Beanutils

Apache Common Beanutils是Apache Common工具集下的另一个项目，提供了一系列对JavaBean的操作方法。什么是JavaBean：什么是JavaBean。

如下Cat就是一个JavaBean。

final public class Cat {
   
    private String name = "catalina";

    public String getName
了解本专栏 订阅专栏 解锁全文 超级会员免费看
Vicl1fe
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 3
    评论
专栏目录
订阅专栏
反序列化利用工具ShiroExploit.V2.51.7z
08-31
在Java、.NET等编程语言中，反序列化广泛用于网络通信、持久化存储等领域。然而，如果反序列化的输入未经验证，恶意用户可以构造特定的序列化数据，从而触发非预期的行为，甚至执行任意代码。 ShiroExploit.V2.51是...
CommonsBeanutils
Christ1na的博客
10-14 3912
Apache Commons Beanutils 是 Apache Commons 工具集下的另一个项目，它提供了对普通Java类对象（也称为JavaBean）的一些操作方法。 梳理一下流程，首先反序列化入口PriorityQueue类中我们可以调用任意对象的compare方法，而我们要调用的这个compare方法中，最终要调用至PropertyUtils.getProperty方法，进而调用TemplatesImpl利用链。
Commons-beanutils
LOST frequency的博客
02-28 692
Commons-beanutils 利用链分析
深入探究Shiro反序列化漏洞
最新发布
2401_84466316的博客
06-16 946
Shiro是Apache的一个强大且易用的Java安全框架,用于执行身份验证、授权、密码和会话管理。使用 Shiro 易于理解的 API，可以快速轻松地对应用程序进行保护Shiro-550反序列化漏洞（CVE-2016-4437） 漏洞简介，造成的原因是默认加密密钥是硬编码在shiro源码中，任何有权访问源代码的人都可以知道默认加密密钥。
java中commons-beanutils的介绍
weixin_34038652的博客
05-24 472
1.   概述 commons-beanutil开源库是apache组织的一个基础的开源库。为apache中很多类提供工具方法。学习它是学习其它开源库实现的基础。 Commons-beanutil中包括大量和JavaBean操作有关的工具方法，使用它能够轻松利用Java反射机制来完毕代码中所须要的功能，而不须要具体研究反射的原理和使用，同一时候，该类库中提出了动态Bean的概念，不但提...
commons-beanutils
durenniu的博客
08-12 2296
内省（了解） 内省的目标是得到JavaBean属性的读、写方法的反射对象，通过反射对JavaBean属性进行操作的一组API。例如User类有名为username的JavaBean属性，通过两个Method对象（一个是getUsenrmae()，一个是setUsername()）来操作User对象。 如果你还不能理解内省是什么，那么我们通过一个问题来了解内省的作用。现在我们有一个Map，内容如...
BeanUtils之commons-beanutils
林高禄
07-08 8405
这是一个把Map转为bean的工具 导包 Bean代码，Student类 package com.lingaolu.bena; /** * @author 林高禄 * @create 2020-07-08-20:01 */ public class Student { private String name; private int age; private Integer no; public String getName() {..
shiro反序列化工具，加强版
12-27
在"shiro反序列化工具，加强版"这个主题中，我们主要关注的是Shiro框架中可能存在的反序列化漏洞以及如何利用和防范这些漏洞。 反序列化漏洞是由于程序在接收到网络传输的数据后，将其从二进制流恢复为对象时没有...
shiro反序列化脚本.zip
07-28
标题 "shiro反序列化脚本.zip" 指向的是一个与Apache Shiro安全框架相关的反序列化漏洞利用工具。Apache Shiro是一款广泛使用的Java安全框架，它提供了身份验证、授权、会话管理和加密等功能。然而，在某些版本中，...
ShiroExp-1.3.1-all.jar shiro反序列化检测工具
01-12
ShiroExp-1.3.1-all.jar shiro反序列化检测工具 我这里是用于搭建攻防演练演示环境用
shiro反序列化复现.zip
08-03
"shiro反序列化复现.zip"这个压缩包很可能是为了帮助开发者或者安全研究人员理解并重现Apache Shiro中的反序列化漏洞。 反序列化漏洞通常发生在程序接收来自不可信源的序列化对象时，如果这个对象包含了恶意构造的...
commons-beanutils的使用
旧路
10-28 6822
       commons-beanutils是Apache提供的一个用于操作JAVA bean的工具包。里面提供了各种各样的工具类，让我们可以很方便的对bean对象的属性进行各种操作。 一 commons-beanutils依赖        pom方式的引入(maven项目)。 <!-- h...
BeanUtils用法详解
聚娃科技开发者博客
12-15 1079
Apache Commons BeanUtils是Apache软件基金会的一个子项目，它提供了对Java反射的简单包装，旨在简化JavaBean的操作。BeanUtils主要用于实现JavaBean之间的属性复制，使得开发者能够轻松地在不同的JavaBean之间传递数据。通过本文，我们详细了解了BeanUtils的基本用法，以及如何在JavaBean之间进行属性复制和值转换。希望这些知识能够帮助你更好地利用BeanUtils简化Java开发中的属性操作。
Apache Commons库中的类库之BeanUtils
m0_74315688的博客
06-30 919
处理JavaBean对象时，代码繁琐？对其属性的复制、赋值和获取时总是容易写错？使用BeanUtils，能够使你的开发更加便捷！
commons－BeanUtils简介
muzitianqing的专栏
07-17 2727
Beanutils用了魔术般的反射技术，实现了很多夸张有用的功能，都是C/C++时代不敢想的。无论谁的项目，始终一天都会用得上它。我算是后知后觉了，第一回看到它的时候居然错过。     1.属性的动态getter,setter      在这框架满天飞的年代，不能事事都保证执行getter,setter函数了，有时候属性是要需要根据名字动态取得的，就像这样：　　   Bea
commons-beanutils的三种利用原理构造与POC
二狗的博客
01-29 801
commons-beanutils 是 Apache 提供的一个用于操作 JAVA bean的工具包。里面提供了各种各样的工具类，让我们可以很方便的对bean对象的属性进行各种操作。其中比较常使用的有MethodUtils/ConstructorUtils/PropertyUtils/BeanUtils/ConvertUtils等。
commons-beanutils使用介绍
热门推荐
蒋固金（jianggujin）的专栏
04-09 1万+
commons-beanutils是Apache开源组织提供的用于操作JAVA BEAN的工具包。使用commons-beanutils，我们可以很方便的对bean对象的属性进行操作
【commons-beanutils专题】004- BeanUtils 专题
訾博（ZiBo）的博客
07-20 2176
【commons-beanutils专题】004- BeanUtils 专题
Shiro安全（三）：Shiro自身利用链之CommonsBeanutils
weixin_43263451的博客
08-05 2392
前面在利用shiro反序列化时，都是利用CC链，但是这需要服务端引入CommonsCollections组件。所以最好是找到一条shiro自身的利用链，而不需要任何的前提条件在之前曾介绍过，在反序列化这个对象时，为了保证队列顺序，会进行重排序的操作，而排序就涉 及到大小比较，进而执行 java.util.Comparator 接口的 compare() 方法。是否能够找到其他的Comparator呢本文主要是要理解如何在没有CC组件等外部依赖的情况下，找到shiro自身的利用链来提高攻击的成功率。...
shiro反序列化利用工具
07-27
为了利用Shiro的反序列化漏洞，攻击者需要先找到目标系统中使用了Shiro的应用程序。然后，攻击者可以使用开源的反序列化利用工具，如ysoserial或ShiroExploit，生成恶意的序列化数据。这些工具可以方便地构造包含...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Vicl1fe

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值