漏洞描述互联网爆出JBOSSApplication Server反序列化命令执行漏洞(CVE-2017-12149)，远程攻击者利用漏洞可在未经任何身份验证的服务器主机上执行任意代码。漏洞危害程度为高危(High)。影响范围漏洞影响5.x和6.x版本的JBOSSAS。漏洞原理JBOSS Application Server是一个基于J2EE的开放源代码的应用服务器。 JBoss代码遵循LGPL许可
转载
2023-11-08 10:46:35
52阅读
漏洞名称：XML注入描述：可扩展标记语言 (Extensible Markup Language, XML) ，用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言 (SGML) 的子集，非常适合 Web 传输。XML 提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。发现目前一些普遍使用x
转载
2023-12-28 12:49:42
120阅读
XML实体注入
原创
2023-04-30 19:13:16
147阅读
作者：bit4@勾陈安全0x00 背景简介本文是自己对一次反序列化漏洞的发现和修复过程，如有错误请斧正，大神请轻喷。目标应用系统是典型的CS模式。客户端是需要安装的windows桌面程序，但是它是大部分内容都是基于Java开发(安装目录有很多Jar包)。服务端是基于Jboss开发。客户端和服务端之间的通信流量是序列化了的数据流量。客户端接收和解析数据流量的模式和服务端一样，也是通过http服务，它
转载
2023-09-10 21:46:06
340阅读
注解的方式确实比手动写xml文件注入要方便快捷很多，省去了很多不必要的时间去写xml文件按以往要注入bean的时候，需要去配置一个xml，当然也可以直接扫描包体，用xml注入bean有以下方法：1 <?xml version="1.0" encoding="UTF-8"?>
2 <beans xmlns="http://www.springframework.org/sch
转载
2024-01-28 01:04:36
125阅读
实验内容介绍XXE漏洞的触发方式和利用方法，简单介绍XXE漏洞的修复。影响版本:libxml2.8.0版本漏洞介绍XXE Injection即XML External Entity Injection,也就是XML外部实体注入攻击。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。由于站点的建站语言不同，PHP、JAVA、python等也有不同的解析规则，在实际情况中不能一概而论，但原理是相
转载
2024-03-24 14:50:02
320阅读
漏洞介绍：可扩展标记语言 (Extensible Markup Language, XML) ，用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言 (SGML) 的子集，非常适合 Web 传输。XML 提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。80sec发现目前一些普遍使用xm
转载
2011-12-12 11:20:47
1194阅读
转自腾讯安全应急响应中心一、XML基础知识XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外部引用。内部声明DTD<!DOCTYPE
转载
2018-10-15 10:22:00
152阅读
点赞
1评论
一、Bean 的装配 Bean 的装配可以理解为依赖关系注入，Bean 的装配方式也就是 Bean 的依赖注入方式。Spring容器支持多种形式的 Bean 的装配方式，如基于 XML 的 Bean 装配、基于 Annotation 的 Bean 装配和自动装配等。 Spring 基于 XML
转载
2023-10-07 10:21:45
34阅读
一.漏洞介绍Xml外部实体注入漏洞（XML External Entity Injection）简称XXE，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网探测和攻击，发起dos攻击等危害XML外部实体注入攻击漏洞是在对非安全的外部实体数据进⾏行处理时引发的安全问题,触发的点往往是可以上传xml文件的位置，没有对上传的xml文件
XML无处不在：它存在于web应用的服务器中，或者在浏览器中作为XMLHttpRequest的请求和应答的格式，亦或在浏览器的扩展程序中。由于应用广泛，XML成为了吸引注入攻击的目标。它受众广，同时常用的XML解析器，例如libxml2，允许对XML进行一些默认处理。libxml2常在DOM、SimpleXML和XMLReader扩展中的PHP中使用。当浏览器的
转载
2023-07-20 21:34:50
50阅读
# Java注入漏洞实现
## 1. 流程概述
Java注入漏洞是一种常见的安全漏洞，它允许攻击者通过构造恶意输入来执行任意的代码，从而获取系统权限或者篡改数据。在本次任务中，我们将教会小白如何实现Java注入漏洞。
下面是实现Java注入漏洞的基本流程，我们将通过以下步骤来完成漏洞的实现。
| 步骤 | 描述 |
| ---- | ---- |
| 1. 检测注入点 | 找到可注入的用户输
原创
2023-08-10 09:10:42
54阅读
SQL注入漏洞在网站漏洞里面属于高危漏洞，排列在前三，受影响范围较广，像asp、.net、PHP、java、等程序语言编写的代码，都存在着sql注入漏洞，那么如何检测网站存在sql注入漏洞？SQL注入漏洞测试方法在程序代码里不管是get提交,post提交，cookies的方式，都可以有随意控制参数的一个参数值，通过使用sql注入工具，经典的sqlmap进行检测与漏洞利用，也可以使用一些国内的SQL
转载
2024-02-05 03:08:04
146阅读
1.代码注入1.1 命令注入命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一种攻击方式。问题代码：$dir = $_POST['dir']
exec("cmd.exe /c dir" + $dir);修复方案：（1）程序对非受信的用户输入数据进行净化，删除不安全的字符。（2）限定输入类型, 创建一份安全
转载
2024-02-29 14:12:54
783阅读
命令注入（Command Injection）是指通过提交恶意构造的参数破坏命令语句结构。从而达到执行恶意命令的目的。 查看命令注入的流程： 1；查看是否调用系统命令。 2；函数以及函数的参数是否可控。 3；是否拼接命令注入。 下面我们使用dvwa来做测试。 A；我们先将安全等级调整为“low” 1；查看源代码<?php
if( isset( $_POST
转载
2023-10-03 19:43:26
345阅读
*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。FireEeye在8月27日发布了一个新的java 0day的一些相关信息，该漏洞影响浏览器的JRE[1.7.x]插件，影响非常大，攻击者可利用该漏洞进行挂马攻击。在捕获的样本中发现使用了Dadong's JSXX 0.44 VIP加密方式。该java程序中包含了以下两个类文件：(-
转载
2023-06-06 08:14:07
146阅读
漏洞简介SQL 注入漏洞在以下情况下出现：1. 数据从一个不可信赖的数据源进入程序。2. 数据用于动态地构造一个 SQL 查询。String userName = ctx.getAuthenticatedUserName();
String itemName = request.getParameter("itemName");
String query = "SELECT * FROM item
转载
2023-09-21 09:32:14
71阅读
命令注入漏洞原理示例代码命令注入的局限无法进行命令注入的原因 原理命令注入是指在某种开发需求中，需要引入对系统本地命令的支持来完成某些特定的功能。当未对可控输入的参数进行严格的过滤时，则有可能发生命令注入。攻击者可以使用命令注入来执行系统终端命令，直接接管服务器的控制权限。在开发过程中，开发人员可能需要对系统文件进行移动、删除或者执行一些系统命令。Java的Runtime类可以提供调用系统命令的
转载
2023-08-28 16:41:14
9阅读
一、先认识XMLXML有两个先驱——SGML（标准通用标记语言）和HTML（超文本标记语言），这两个语言都是非常成功的标记语言。SGML多用于科技文献和政府办公文件中，SGML非常复杂，其复杂程度对于网络上的日常使用简直不可思议。HTML免费、简单，已经获得了广泛的支持，方便大众的使用。而XML（可扩展标记语言）它既具有SGML的强大功能和可扩展性，同时又具有HTML的简单性。XML注入攻击也称为
转载
2024-03-08 21:11:32
120阅读
XML外部实体注入 例：InputStream is = Test01.class.getClassLoader().getResourceAsStream("evil.xml");//source
XMLInputFactory xmlFactory = XMLInputFactory.newInstance();
XMLEventReader reader = xmlFactory.c
转载
2024-01-08 18:58:09
443阅读
