JNDIJDNI介绍以及调用jndi的全称为Java Naming and Directory Interface， 一种标准的Java命名系统接口， JNDI提供统一的客户端API，通过不同的服务供应接口(SPI)的实现，由管理者将JNDI API映射为特定的命名服务和目录系统，使得Java应用程序可以和这些命名服务和目录服务之间进行交互。命名服务最典型的服务当属RMI。而目
背景知识JNDI Service ProviderJNDI 与 JNDI Service Provider 的关系类似于 Windows 中 SSPI 与 SSP 的关系。前者是统一抽象出来的接口，而后者是对接口的具体实现。如默认的 JNDI Service Provider 有 RMI/LDAP 等等。ObjectFactory每一个 Service Provider 可能配有多个 Objec
1. SSTI模板注入（Server-side template injection） a. 服务器模板注入是当攻击者能够用本地的模板语法去注入一个恶意的payload，然后再服务器端执行改模板的攻击手法。 b. 模板引擎使用过将固定模板与多边数据结合起来生成的html网页的一种技术，当用户直接输入数据到模板不做任何过滤额时，可能会发生服务端的模板注入攻击，这使得攻击者可以注入任何模板指令来
转载
2023-10-17 19:33:10
421阅读
SQL Server是中小型网站广泛使用的数据库，由于功能强大也滋生了很多安全问题，国内又因为SQL注入攻击的很长一段时间流行，导致对SQL Server的入侵技巧也层出不穷，由于SQL Server支持多语句，相信很多小黑在对SQL Server进去SQL注入的时候很少使用猜解表名之类的方法，而直接转向使用SQL Server的存储过程和函数快速的拿权限，下面我就围绕SQL Server的系统
转载
2023-11-23 18:34:40
12阅读
在Java中执行系统命令，主要是使用ProcessBuilder和Runtime.getRuntime().exec()。而在这里主要是介绍两种方法的使用。使用情景是在linux系统中，使用mencoder来进行视频转码。将视频转为flv格式，因为转为flv格式命令较为简单，如要转为MP4格式，可以看官方文档介绍一.使用Runtime##上传之后的视频文件名为test.tmpmedia
Strin
转载
2023-08-24 15:44:05
307阅读
SQL注入的一般过程概述SQL注入的步骤一道例题总结 概述 SQL注入是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。SQL注入大致可以分为两类：数字型注入和字符型注入。SQL注入的步骤 这
转载
2024-01-11 23:08:58
32阅读
1.判断是否有注入
;and 1=1
;and 1=2 2.初步判断是否是mssql
;and user>0 3.判断数据库系统
;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access 4.注入参数是字符
'and [查询条件] an
转载
2024-05-30 16:12:37
174阅读
/命令注入攻击:使用的是system函数执行windows系统dir命令，来显示URL参数dir所指定的子目录的内容。 可以使用escapeshellarg函数来处理命令的参数，防止URI来进行命令注入攻击使用的是passthru函数执行windows系统命令，读取URL参数username所指定的来访者账号，并显示来访者的登录日志的内容。 可以使用escapeshellarg函数来处理命令的参数
转载
2023-08-12 14:19:39
146阅读
Java审计之命令执行篇0x00 前言在Java中能执行命令的类其实并不多，不像php那样各种的命令执行函数。在Java中目前所知的能执行命令的类也就两种，分别是Runtime和 ProcessBuilder类。0x01 Runtime 执行命令分析关于Runtime具体的使用可以看这篇文章，反射去调用Runtime。Java学习之反射篇@WebServlet("/execServlet")
pu
转载
2023-08-14 13:01:57
151阅读
前言接触安全以来听得最多的就是sql注入，但是一直都没怎么仔细整理过相关的sql注入进阶利用方法，基本局限在注入获取数据库的数据。本文将集中整理复现mysql数据库相关命令执行方法，原理以及提权利用姿势，作者能力有限，如有更多姿势，也欢迎沟通交流。全文复现环境（基于windows下的docker虚拟环境）：使用到的环境版本centos7.2.1511宝塔面板7.5.1PHP5.6MYSQL5.1.
转载
2024-08-04 18:34:53
428阅读
注入位置分类这个分类方式是我自己想的，可能会有一些不准确。如图所示注入方式有3种，内联、终止、堆叠。每种注入方式又根据服务器的响应分为4类，时间延迟、报错、布尔、将执行结果直接输出。为什么给注入作分类?sql语句添加了注入语句之后，需要SQL编译器还是能正常编译并执行，才能达成攻击目的，不同的SQL语句写法，加入的位置会有不同，不同的位置有不同的区别，这里说的不同就是本文研究的对象。内联式 - U
转载
2024-08-26 12:07:20
54阅读
首先，先介绍一下 什么是SQL注入？SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。注入过程：使用 ’ 测试是否存在注入点，如果页面显示与之前不同或者报错则存在注入点。(在输入框输入）
转载
2023-09-17 22:04:36
9阅读
2-1 SQL注入原理1)语言分类：解释型语言和编译型语言。解释型语言是一种在运行时由一个运行时组件解释语言代码并执行其中包含的指令的语言。而编译型语言是代码在生成时转换为机器指令，然后再运行时直接由使用该语言的计算机执行这些指令。在解释型语言中，如果程序与用户进行交互。用户就可以构造特殊的输入来拼接到程序中执行，从而使得程序依据用户输入执行有可能存在恶意行为的代码。例如：在与用户交互的程序中，用
转载
2023-10-30 17:36:49
19阅读
什么是SQL注入(SQL Injection)所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造(或者影响)动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。mysql常用注释#--[空格]或者是--+/*…*/在注意过程中，这些注释可能都需要进行urle
转载
2023-10-21 18:27:38
4阅读
## 项目方案：如何发现MySQL SQL注入执行命令
### 1. 简介
MySQL是一款常用的关系型数据库管理系统，而SQL注入是一种常见的安全，者通过构造恶意的SQL语句来执行一些非法操作。本项目方案旨在帮助开发者发现并修复MySQL中的SQL注入，防止利用此进行。
### 2. 方案概述
本方案主要分为两个部分：注入检测和修复。在注入检测阶段，我们将通过
原创
2023-11-04 08:56:23
65阅读
String cmd
=
"
cmd /c c:/ddd/aaa.exe
"
;
Runtime.getRuntime().exec(cmd);
转载
2023-05-29 16:16:08
154阅读
用命令行运行java前言：看了好多书一直强调刚开始学一门语言的时候，不要用IDE,要尝试着用命令行的模式，这篇博客是在借鉴别人的基础之上，有一些补充来说明命令行模式下的Java的运行。首先区分文本编辑器与IDE的区别这两个解基本概念并没有划分的十分明确，可能流传的最广的一句话——有时候IDE和“编辑器”的区别是：前者是做得好的IDE；后者是做得不好的IDE、除了文本编辑还行、其它大部分功能做得不好
转载
2023-12-24 11:40:08
71阅读
目前有两种方法：
方法一：Runtime.getRuntime().exec(String cmdarray[])
方法二：new ProcessBuilder(String... command).start()
转载
2023-05-27 17:54:48
225阅读
面试题：java垃圾回收的命令是什么及其执行过程首先：java内存是怎样分配的，对象是在5个地方存储数据1.寄存器 java不能操作寄存器，汇编语言可以直接操作寄存器，可以忽略器存在；2.堆栈 位于RAM（随机访问存储器）中，对象的引用存于堆栈中，其他语言例如c++，对象存于堆栈中3.堆位于RAM（随机访问存储器）中，对象存于堆中4.常量存储位于RAM（随机访问存储器）中，常量存放于此，例如：字符
转载
2024-10-14 14:11:51
30阅读
本文介绍一些常用的运行窗口命令，也是DOS命令，同时所有的命令均在win7旗舰版测试通过，并附有运行后的图片，运行命令窗口如下：工具/原料电脑一台(本文以win7系统的电脑为例！)；方法/步骤1、调出运行命令窗口：按快捷键“win+R”或者单击“开始”-“运行”：2、CMD命令提示符：输入命令“cmd”后按回车，界面如下：3、注册表：输入命令“regedit”后按回车，界面如下：4、1分钟后关机：
转载
2024-03-22 06:57:28
434阅读
