JSONP漏洞分析及利用方式漏洞原理jSONP 的最基本的原理是：动态添加一个< script >标签，而 script 标签的 src 属性是没有跨域的限制的。 由于同源策略的限制，XmlHttpRequest 只允许请求当前源(域名、协议、端口都相同)的资源，如果要进行跨域请求， 我们可以通过使用 html 的 script 标记来进行跨域请求，并在响应中返回要执行的 script
转载
2023-12-27 18:09:17
43阅读
# Java JSON注入漏洞修复指南
## 概述
Java JSON注入漏洞是一种常见的安全漏洞，攻击者可以利用该漏洞来执行恶意代码或者获取敏感信息。本文将指导你如何修复这种漏洞，保障你的应用程序的安全性。
## 漏洞修复流程
为了修复Java JSON注入漏洞，我们可以按照以下步骤进行操作：
| 步骤 | 说明 |
| ---- | ---- |
| 1. 了解漏洞 | 理解Java J
原创
2024-01-21 08:39:57
369阅读
一、漏洞概述Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通
转载
2023-10-08 21:42:24
8阅读
SON(JavaScript Object Notation) 是一种轻量级的数据交换格式。易于人阅读和编写。同时也易于机器解析和生成。它基于JavaScript Programming Language, Standard ECMA-262 3rd Edition - December 1999的一个子集。 JSON采用完全独立于语言的文本格式，但是也使用了类似于C语言家族的习惯（包括C, C++, C#, Java, JavaScript, Perl, Python等）。这些特性使JSON成为理想的数据交换语言。
转载
精选
2015-01-22 11:51:54
2255阅读
目录前提知识CSRFJSONPjsonp漏洞原理过程复现漏洞挖掘思路漏洞防御前提知识CSRF提起CSRF，可能很多人都会想到修改个人资料、授权登陆等攻击场景，可以发现这两个场景都是写入型的CSRF漏洞，通常会忽视更常见的读取型的CSRF漏洞，主流如下两种JSONP跨域资源读取CORS跨域资源读取JSONPJSONP 是 JSON with padding（填充式 JSON 或参数式 JSON）的简
转载
2024-05-20 15:30:22
77阅读
1. JSONP漏洞位置和测试方法观察到响应返回JSONP格式的数据，即JSON with Padding，形如函数名(json数据)，如callback({"username":"xiaowang", "passwd":"pass1234"})。JSONP漏洞主要用来窃取被攻击用户的敏感信息，如果响应中的数据没有敏感数据，则没有好大意义。JSONP漏洞测试方法类似CSRF漏洞，本质上JSONP漏
转载
2023-07-13 23:00:37
99阅读
jsonp漏洞挖掘Jsonp(JSON with Padding) ，可以让网页从别的域名（网站）那获取资料，即跨域读取数据。他通过设定一个script标签，定义一个callback函数名并传入服务端，服务端调用该函数返回指定数据JSONP漏洞与其他漏洞对比xss漏洞劫持用户的cookie伪造登陆。csrf伪造用户的操作欺诈服务器端进行敏感操作。JSONP利用callback函数得到用户的敏感信息
转载
2023-10-06 23:24:14
35阅读
Java 漏洞调试科普Cve2010-0840 author : instruder 介绍以cve2010-0840的Java Runtime Environment Trusted Methods Chaining Remote CodeExecution Vulnerability漏洞为例，介绍下如何调试java漏洞。 这个漏洞影响的java版本 Jre
一. 漏洞利用条件
jdk9+
Spring 及其衍生框架
使用tomcat部署spring项目
使用了POJO参数绑定
Spring Framework 5.3.X < 5.3.18 、2.X < 5.2.20 或者其他版本
二. 漏洞分析通过API Introspector. getBeanInfo 可以获取到POJO的基类Object.c
转载
2024-02-21 11:31:53
28阅读
靶场考察点1.Jenkis平台的漏洞利用Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成 2.contrab提权在LINUX系统中的/etc/contrab文件存放着系统定时任务, 若该文件的某些定时任务指定由root用户执行, 那么这将是一个可提权点 3.登录爆破使用burpsuite对网站
转载
2024-03-14 19:39:50
74阅读
今天是java编写漏洞扫描工具系列一，在整个系列中我将以案例驱动方式进行，从基本的请求，到常规漏洞扫描，Burp插件，调用SQLmap api，整合burp+sqlmap(Web平台)，漏洞扫描平台（漏洞平台支持被动主动扫描，插件式集成支持python插件）。我的开发环境为: eclipse + jdk 1.8 在Web端下，基本上就是GET/POST请求，大
转载
2023-07-26 20:13:28
48阅读
目录序列化的过程readObject方法反射链完成反序列漏洞实践结论之前听别人讲解反序列化的漏洞听的晕乎乎的，刚脆就趁着周末研究一下反序列化漏洞，并且搭建实战环境实际操作了一把，明白了之后发现之前听的迷糊更多是因为对于反序列漏洞思路不够清晰，明白了反序列的流程之后，反序列化漏洞很好理解。下面的内容，我将详细论诉反序列化漏洞的利用思路。序列化的过程这里梳理一下正常的序列化的流程，将一个类进行序列化存
转载
2023-06-20 00:56:12
114阅读
一、黑盒流量分析：java
在Java反序列化传送的包中，通常有两种传送方式，在TCP报文中，通常二进制流方式传输，在HTTP报文中，则大多以base64传输。
转载
2023-05-29 18:07:16
76阅读
内容不完善，持续补充中......文件上传漏洞原理在文件上传的功能处，若服务端脚本语言未对上传的文件进行严格验证和过滤，导致恶意用户上传恶意的脚本文件时，就有可能获取执行服务端命令的能力，这就是文件上传漏洞。文件上传漏洞触发点相册、头像上传、视频、照片分享、附件上传（论坛发帖、邮箱）、文件管理器等。文件上传漏洞的形成条件文件能够通过前端和后端过滤和文件处理文件内容不会改变，能够被正确存储存储位置在
转载
2023-10-07 18:31:03
30阅读
Java反序列化漏洞是一种常见的安全漏洞，攻击者可以利用此漏洞执行恶意代码，从而控制目标系统。在本文中，我们将介绍如何复现Java反序列化漏洞并进行漏洞分析。什么是Java反序列化漏洞 Java反序列化漏洞是一种利用Java序列化机制的安全漏洞。Java序列化是一种将对象转换为字节序列的过程，通常用于网络传输或永久存储。当反序列化一个包含恶意代码的序列化数据时，攻击者可以利用该漏洞在目标系统上执行
转载
2023-06-28 14:39:29
114阅读
java编写web漏洞扫描系列 二、(案例)Struts2漏洞扫描器本文是编写web漏洞扫描器的第二章，将使用一个小案例带领大家入门一下！开始，上一节我们说了Java发送GET/POST请求，一级简单的实现了一个检测Struts2漏洞的小工具，在本节中，我们将对它进行扩展，增加线程，提高扫描的效率并支持批量扫描！那么想要以上一共我们可能会需要几个方法： 1.检测漏洞的方法 2.从文本读取文
转载
2023-08-17 20:28:48
67阅读
前言2021/12/09，阿里云安全团队向apache报告了由log4j日志引起的远程代码执行，12月10日，当天白帽跟提前过大年似的，疯狂刷src(利用超级简单)，让部分src平台暂时停止收类似该漏洞，凌晨，很多程序员和安全员被迫起来应急响应，几乎市面上的大厂都受到了该漏洞的影响这里做一个复现学习的小文章，由于对java这方面的知识雀食是薄弱，而且本地复现时，出现了挺多问题，在本地复现时,不知道
转载
2024-01-11 14:20:37
323阅读
0x00 漏洞描述2021年12月10日，国家信息安全漏洞共享平台（CNVD）收录了Apache Log4j2 远程代码执行漏洞（CNVD-2021-95914）。攻击者利用该漏洞，可在未授权的情况下远程执行代码。目前，漏洞利用细节已公开，Apache官方已发布补丁修复该漏洞。Apache Log4j2是一个基于Java的日志记录组件，该日志组件被广泛应用于业务系统开发，用以记录程序输入输出日志信
转载
2023-12-23 13:38:35
167阅读
警告请勿使用本文提到的内容违反法律。 本文不提供任何担保。前言： 3月29日，Spring框架曝出RCE 0day漏洞。已经证实由于 SerializationUtils#deserialize 基于 Java 的序列化机制，可导致远程代码执行 (RCE)，使用JDK9及以上版本皆有可能受到影响。参考：h
目录前言：2、项目配置3、编写“java 反序列化漏洞”后端代码4、编写“java 反序列化漏洞”前端代码5、运行测试 前言：本篇文章在上一篇文章基础上，学习了解 java 反序列化漏洞的基础知识后，现在开始进行漏洞环境的代码实现。 2、项目配置编写 application.propertiesspring.thymeleaf.prefix = classpath:/templates/pom
转载
2023-11-03 20:14:42
18阅读
