文章目录小知识漏洞原理序列化反序列化函数解析序列化：serialize()函数反序列化 ：unserialize()函数魔术方法pikachu靶场练习1靶场练习2总结 小知识weblogic反序列化漏洞该漏洞挖掘较难。与变量覆盖一样，并不是说具体的漏洞，而是与它的具体代码有关。=== 【比较 数值相等、类型相等】== 【比较，数值相等】= 【赋值 赋予数值】=> 【键值分离】-> 【
转载
2024-01-11 23:36:58
60阅读
java开发中经常会遇到json的序列化与反序列化，常用的json序列化工具有阿里的Fastjson、spring mvc内置的Jackson、还有就是我们接下来要说的谷歌的Gson。Fastjson 的常见使用Fastjson API入口类是com.alibaba.fastjson.JSON，常用的序列化操作都可以在JSON类上的静态方法直接完成。反序列化
// 把JSON文本parse为JSO
转载
2023-07-18 14:22:15
6阅读
漏洞原理在提及漏洞前，首先要先理解PHP中的serialize()和unserialize()两个函数（由于没有PHP开发基础，请各位大哥指出小弟本文中的错误），serizlize()就是将变量、对象、数组等数据类型转换成字符串方便进行网络传输和存储，再通过unserialize()将字符串进行转换成原来的数据。当存在反序列化函数及可利用魔术方法时，且unserialize()接受到的字符串对于用
转载
2024-01-05 10:08:19
37阅读
漏洞介绍国外的研究人员zero thoughts发现了一个Spring框架的反序列化远程代码执行漏洞。spring-tx.jar包中的org.springframework.transaction.jta.JtaTransactionManager类存在JNDI反序列化问题。只要创建一个JtaTransactionManager 对象让userTransactionName指向我们注册的RMI链接
转载
2024-02-20 21:28:03
36阅读
SON(JavaScript Object Notation) 是一种轻量级的数据交换格式。易于人阅读和编写。同时也易于机器解析和生成。它基于JavaScript Programming Language, Standard ECMA-262 3rd Edition - December 1999的一个子集。 JSON采用完全独立于语言的文本格式，但是也使用了类似于C语言家族的习惯（包括C, C++, C#, Java, JavaScript, Perl, Python等）。这些特性使JSON成为理想的数据交换语言。
转载
精选
2015-01-22 11:51:54
2255阅读
JSONP漏洞分析及利用方式漏洞原理jSONP 的最基本的原理是：动态添加一个< script >标签，而 script 标签的 src 属性是没有跨域的限制的。 由于同源策略的限制，XmlHttpRequest 只允许请求当前源(域名、协议、端口都相同)的资源，如果要进行跨域请求， 我们可以通过使用 html 的 script 标记来进行跨域请求，并在响应中返回要执行的 script
转载
2023-12-27 18:09:17
43阅读
1. JSONP漏洞位置和测试方法观察到响应返回JSONP格式的数据，即JSON with Padding，形如函数名(json数据)，如callback({"username":"xiaowang", "passwd":"pass1234"})。JSONP漏洞主要用来窃取被攻击用户的敏感信息，如果响应中的数据没有敏感数据，则没有好大意义。JSONP漏洞测试方法类似CSRF漏洞，本质上JSONP漏
转载
2023-07-13 23:00:37
99阅读
目录前提知识CSRFJSONPjsonp漏洞原理过程复现漏洞挖掘思路漏洞防御前提知识CSRF提起CSRF，可能很多人都会想到修改个人资料、授权登陆等攻击场景，可以发现这两个场景都是写入型的CSRF漏洞，通常会忽视更常见的读取型的CSRF漏洞，主流如下两种JSONP跨域资源读取CORS跨域资源读取JSONPJSONP 是 JSON with padding（填充式 JSON 或参数式 JSON）的简
转载
2024-05-20 15:30:22
80阅读
[CVE-2020-1948] Apache Dubbo 反序列化漏洞分析简介Dubbo 是一款高性能、轻量级的开源 Java RPC 框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。POChttps://www.mail-archive.com/dev@dubbo.apache.org/msg06544.html影响版本Dubbo 2.7.0 to
转载
2023-12-29 20:52:55
34阅读
漏洞简介序列化：把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。 反序列化：把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。例如将二进制数据流或文件加载到内存中还原为对象。反序列化漏洞首次出现在2015。虽然漏洞较新，但利用十分热门，主要原因还是太过信任客户端提交的
转载
2023-07-01 19:22:31
228阅读
文章目录反序列化漏洞一、概述1. 序列化和反序列化2. 序列化的目的二、PHP中的序列化与反序列化1. 概述2. 示例序列化与反序列化3. 反序列化漏洞- PHP中的魔术方法- Typecho_v1.0中的反序列化漏洞 反序列化漏洞一、概述1. 序列化和反序列化序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将其当前状态写入到临时或持久
转载
2023-12-06 23:26:17
63阅读
Java 反序列化漏洞-Apache Commons Collections3前言javassist+TemplatesImplcom.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilterorg.apache.commons.collections.functors.InstantiateTransformer构造POC基于LazyMap基于Tr
转载
2023-09-01 14:27:14
28阅读
PHP反序列化漏洞复现测试代码 我们运行以上代码文件，来证明函数被调用： 应为没有创建对象，所以构造函数__construct()不会被调用，但是__wakeup()跟__destruct()函数都被调用，如果这些函数里面包含的是恶意代码会怎么样呢？利用场景__wakeup() 或__destruct()由前可以看到，unserialize(
转载
2024-05-10 10:41:07
87阅读
1 java反序列化简介java反序列化是近些年安全业界研究的重点领域之一，在Apache Commons Collections 、JBoss 、WebLogic 等常见容器、库中均发现有该类漏洞，而且该类型漏洞容易利用，造成的破坏很大，因此影响广泛。在本文中将先介绍java反序列化漏洞的原理，然后在此基础上介绍安全工具如何检测、扫描此类漏洞。1.1 什么是反序列化
转载
2024-02-22 14:04:24
111阅读
目录1 工具下载2 依赖环境安装3 使用 1 工具下载shiro反序列化漏洞综合利用工具v2.2下载其他工具下载 除了该工具之外，github上还有其他大佬贡献的各种工具，有许多python编写的工具，功能简单，可以作为理解shiro漏洞原理并编写自己工具的教材。2 依赖环境安装说明：shiro反序列化漏洞综合利用工具v2.2是采用java编写的，需要使用java8环境来解析下载java8环境：
转载
2023-12-19 08:56:04
32阅读
Apache Commons Collections反序列化漏洞必然是2015年影响重大的漏洞之一，同时也开启了各类java反序列漏洞的大门，这几年大量各类java反序列化漏洞不断出现。java反序列化漏洞基本一出必高危，风险程度极大，最近研究了一些反序列化漏洞，本篇记录apache commons collections反序列化漏洞。
一. 序列化与
转载
2023-07-18 14:18:29
57阅读
目录一、反序列化漏洞原理1、相关概念2、序列化出现场景3、反序列化攻击分类4、危害5、序列化与反序列化过程二、常用的魔术方法三、反序列化漏洞的防御一、反序列化漏洞原理1、相关概念序列化（Serialization）：将对象的状态信息转换为可以存储或传输的形式的过程，一般将对象转换为字节流。序列化时，对象的当前状态被写入到临时或持久性存储区（文件、内存、数据库等）。反序列化（Deserializat
转载
2024-01-15 03:24:47
107阅读
几天网上又报出来Dubbo的一个反序列化漏洞,一时间Dubbo又被推上了风口浪尖,对dubbo本身也褒贬不一.漏洞报告地址如下,有兴趣的可以自己研究下:https://www.mail-archive.com/dev@dubbo.apache.org/msg06544.html其实在2月份就有相似的漏洞报出来了,漏洞地址如下:https://www.mail-archive.com/dev@dub
原创
2021-02-26 17:23:06
370阅读
序列化和反序列化 概述 在理解这个漏洞前,你需要先搞清楚php中serialize()，unserialize()这两个函数。 序列化serialize() 序列化通俗点说就是把一个对象变成可以传输的字符串,比如下面是一个对象: class S{ public $test="pikachu"; } ...
转载
2021-07-19 14:59:00
178阅读
什么是序列化 将复杂的数据结构转换为可以作为有顺序的字节流发送、或者转化为更扁平的格式以方便接收。 序列化使如下操作更简单： 写入复杂的数据到进程间的内存、文件或者数据库 发送复杂的数据，例如在网络、应用程序的不同组件之间、在API中调用复杂数据 当一个对象被序列化的时候，它的状态也就成了一种“持久 ...
转载
2021-08-23 09:03:00
121阅读
2评论
