漏洞原理程序员使用脚本语言(比如PHP)开发应用程序过程中，脚本语言开发十分快速、简介、方便，但是也伴随着一些问题，比如说速度慢，或者无法解除系统底层，如果我们开发的应用，特别是企业级的一些应用需要去调用一些外部程序。当应用需要调用一些外部程序时，就会用到一些系统命令的函数。如PHP中的system，exec，shell_exec等，当用户可以控制命令执行函数中的参数时，将可注入恶意系统命令到正常
转载
2024-01-04 15:02:11
39阅读
有段时间没有写博客了，主要的原因是期末考试和回老家过年，这段时间基本上没有看相关的内容，不过还是有很多可以用来分享的。 就像前一篇日志提到的一样，Java可以从字节码的方式进行玩耍。通过使用Javassist这个类库，可以很方便的进行字节码的操作。 从这个角度讲，有很多我们之前没有想到的方面也可以进行实施。比如说有这么一个jar包，需要进行引用开发，于是乎，我们可以进行一些简单的恶作剧，可以在某
转载
2024-02-07 22:35:04
2阅读
1.代码注入1.1 命令注入命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一种攻击方式。问题代码：$dir = $_POST['dir']
exec("cmd.exe /c dir" + $dir);修复方案：（1）程序对非受信的用户输入数据进行净化，删除不安全的字符。（2）限定输入类型, 创建一份安全
转载
2024-02-29 14:12:54
783阅读
[Java教程]Spring依赖注入三种方式详解0 2015-10-11 22:00:26在讲解Spring依赖注入之前的准备工作：下载包含Spring的工具jar包的压缩包解压缩下载下来的Spring压缩包文件解压缩之后我们会看到libs文件夹下有许多jar包，而我们只需要其中的commons-logging-1.0.4.jar，spring-beans-4.2.1.RELEASE.jar，sp
转载
2024-01-28 11:06:06
28阅读
前言：作为一名专业的java开发工程师，每每都会遇到JVM相关的问题，多在于full GC过多、超时，内存参数设置异常，或者查看异常的线程信息。这些问题，本质上并不复杂，只要我们选择合适的工具就很简单。那么有哪些工具呢？JDK自身就提供了很多可靠的工具。本文就来看下JDK提供的那些实用命令工具。注意：笔者使用的是Windows机器，JDK安装位置为D:\Program Files\Java\jdk
转载
2023-10-11 09:18:23
341阅读
我这里只是将这篇博客中的有关Java的命令行注入攻击进行实验验证。命令分隔符注入命令Java代码也提供一些接口，如Runtime.getRuntime().exec(“command”),System.exec(“command”),调用这两个命令，可以执行一些系统命令。下面给一段代码：package exam;
import java.io.InputStream;
/**
* Creat
转载
2023-09-13 19:16:14
5阅读
目录1 OS命令注入概述2 常见可注入函数及利用方法2.1 system()函数2.2 exec()函数2.3 passthru()函数2.4 popen()函数2.5 shell_exec及反引号结构3 防御4 总结 1 OS命令注入概述背景：程序员使用脚本语言（如PHP等）开发应用程序过程中，脚本语言开发十分快速、简洁、方便，但是也伴随着一些问题，比如速度慢、无法触及系统底层等。开发的应用时
转载
2024-01-08 16:35:11
9阅读
本次一起说下JDK的内置工具，JDK里面很多强大的工具，查看JVM的信息和监控JVM的内容。(一)JDK内置工具 - javap介绍java 反编译工具，主要用于根据Java字节码文件反汇编为Java源代码文件。命令命令集(二)JDK内置工具 -jps介绍jps (Java Virtual Machine Process Status Tool) 显示当前所有java进程pid的命令命令命令集(三
转载
2023-11-03 12:33:43
92阅读
漏洞描述互联网爆出JBOSSApplication Server反序列化命令执行漏洞(CVE-2017-12149)，远程攻击者利用漏洞可在未经任何身份验证的服务器主机上执行任意代码。漏洞危害程度为高危(High)。影响范围漏洞影响5.x和6.x版本的JBOSSAS。漏洞原理JBOSS Application Server是一个基于J2EE的开放源代码的应用服务器。 JBoss代码遵循LGPL许可
转载
2023-11-08 10:46:35
52阅读
一、前言这边通过工作整理一些常见安全漏洞及解决方法，主要涉及有：框架低版本漏洞、空指针的引用、整数溢出、命令注入、SQL注入、XSS及CSRF、跳转漏洞、HTTP Response Splitting漏洞、路径可控制及代码注入、资源泄露及对象相等、序列化、线程安全等二、主要内容1.框架低版本漏洞漏洞说明在使用低版本struts/spring/hibernate开发的时候，低版本漏洞
转载
2024-05-08 09:48:49
126阅读
sqlmap 重要参考 http://www.kali.org.cn/forum-75-1.html SQLmap是一款用来检测与利用SQL漏洞的注入神器。开源的自动化SQL注入工具，由Python写成，具有如下特点：完全支持MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access、IBM DB2、S
# Java JSON注入漏洞修复指南
## 概述
Java JSON注入漏洞是一种常见的安全漏洞，攻击者可以利用该漏洞来执行恶意代码或者获取敏感信息。本文将指导你如何修复这种漏洞，保障你的应用程序的安全性。
## 漏洞修复流程
为了修复Java JSON注入漏洞，我们可以按照以下步骤进行操作：
| 步骤 | 说明 |
| ---- | ---- |
| 1. 了解漏洞 | 理解Java J
原创
2024-01-21 08:39:57
369阅读
作者：bit4@勾陈安全0x00 背景简介本文是自己对一次反序列化漏洞的发现和修复过程，如有错误请斧正，大神请轻喷。目标应用系统是典型的CS模式。客户端是需要安装的windows桌面程序，但是它是大部分内容都是基于Java开发(安装目录有很多Jar包)。服务端是基于Jboss开发。客户端和服务端之间的通信流量是序列化了的数据流量。客户端接收和解析数据流量的模式和服务端一样，也是通过http服务，它
转载
2023-09-10 21:46:06
340阅读
目录SQL注入:用例子说明:1.创建user表,其中表中有三个字段,分别是id(有自增功能), username, password。并插入三条数据。 2.将数据库和Java连接并进行登录测试3.运行代码:这就是SQL注入的现象, 为什么会出现这样的现象?那我们怎么该避免这种情况呢?这时候就需要用到PreparedStatement对象。SQL注入:由于jdbc程序在执行的过程中，sql
转载
2023-09-26 22:23:33
335阅读
验收项目时师傅提到的要求有一点是防止SQL注入并找到解决方案，于是找资料好好了解了一下。（1）什么是SQL注入？SQL注入就是在系统登陆窗口或其他一切可输入文本中输入一段SQL语句，由于“SQL注入”是利用未过滤/未审核用户输入的攻击方法，其实就是让应用运行本不应该运行的SQL代码，如果应用毫无防备地创建了SQL字符串并且运行了它们，就会造成一些出人意料的结果。（2）SQL注入的表现形式？例如，在
转载
2024-04-14 22:03:08
0阅读
1.sql注入是什么我的理解：前端传进来的参数A，截取A+sql语句去set值，改写的值可以set进入你写的sql语句里面，这就是sql注入2.解决：3.代码：获取的前端参数A更改参数：sql注入---》 A = A select * from table 修复：sqlinj（A）---将A还原--我们就解决了sql注入问题 public static String sql
转载
2023-06-25 18:55:54
267阅读
SQL注入漏洞在网站漏洞里面属于高危漏洞，排列在前三，受影响范围较广，像asp、.net、PHP、java、等程序语言编写的代码，都存在着sql注入漏洞，那么如何检测网站存在sql注入漏洞？SQL注入漏洞测试方法在程序代码里不管是get提交,post提交，cookies的方式，都可以有随意控制参数的一个参数值，通过使用sql注入工具，经典的sqlmap进行检测与漏洞利用，也可以使用一些国内的SQL
转载
2024-02-05 03:08:04
146阅读
一、漏洞概述Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通
转载
2023-10-08 21:42:24
8阅读
命令注入：是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。在Web应用中，有时候会用到一些命令执行的函数，如php中system、exec、shell_exec等，当对用户输入的命令没有进行限制或者过滤不严导致用户可以执行任意命令时，就会造成命令执行漏洞。 命令注入漏洞主要表现为以下两种形式：1、攻击者能够算改程序执行的命令:攻击者直接控制了所执行的命
转载
2023-07-03 21:17:38
416阅读
1.sql注入漏洞描述 web程序中对于用户提交的参数未做过滤直接拼接到sql语句中执行，导致参数中的特殊字符破坏了sql语句原有逻辑，攻击者可以利用该漏洞执行任意sql语句、如查询，下载，写入webshell，执行系统命令以及绕过登陆限制等修复建议 代码层最佳防御sql漏洞方案：使用预编译sql语句查询和绑定变量。（1）使用预编译语句，使用PDO需要注意不要将变量直接拼接到PDO语句中。所有的查
转载
2023-11-22 13:20:23
673阅读
