漏洞经验分享丨Java审计之XXE（上）

漏洞经验分享丨Java审计之XXE（下）

上篇内容我们介绍了XXE的基础概念和审计函数的相关内容,今天我们将继续分享Blind XXE与OOB-XXE的知识点以及XXE防御方法,希望对大家的学习有所帮助! 上期回顾 ◀漏洞经验分享丨Java审计之XXE(上) Blind XXE Blind XXE与OOB-XXE 一般XXE利用分为两大场景:有回显和无回显.有回显的情况可以直接在页面中看到Payload的执行结果或现象(带内XML外部实体(XXE),即攻击者可以发送带有XXE有效负载的请求并从包含某些数据的Web应用程序获取响应),无…

漏洞经验分享丨Java审计之XXE（上）

最近在审计公司的某个项目时(Java方面),发现了几个有意思的Blind XXE漏洞,我觉得有必要分享给大家,尤其是Java审计新手,了解这些内容可以让你少走一些弯路. Java总体常出现的审计漏洞如下: >SQL注入 >XSS >CSRF >XXE >SSRF >CRLF注入 >远程命令执行 >反序列化 >文件上传 >任意文件删除 >文件下载 >DWR接口未授权访问 >JSONP >URL报名单绕过 XXE简介 XXE(…

Java 审计之XXE篇

Java 审计之XXE篇 0x00 前言在以前XXE漏洞了解得并不多,只是有一个初步的认识和靶机里面遇到过.下面来深入了解一下该漏洞的产生和利用. 0x01 XXE漏洞当程序在解析XML输入时,允许引用外部实体,导致能够引用一个外部恶意文件,可导致执行系统命令,内网端口检测,文件读取,攻击内网服务,dos攻击等. 在解析外部实体的过程中,XML解析器可以根据URL中指定的方案(协议)来查询各种网络协议和服务(DNS,FTP,HTTP,SMB等). 外部实体对于在文档中创建动态引用非常有用,…

【面试经验分享】java面试中的那些潜规则

1.大纲潜规则1:面试的本质不是考试,而是告诉面试官你会做什么很多刚入行的小伙伴特别容易犯的一个错误,不清楚面试官到底想问什么,其实整个面试中面试官并没有想难道你的意思,只是想通过提问的方式来知道你会什么比如: 面试官提问在实际项目中你们是怎么样使用缓存的? 初入行回答:使用redis,key-value存放但是面试官可能是想知道:一般在业务中缓存什么样的数据,为什么要缓存这些数据,缓存数据如何保证实时性,如果缓存失效会对正常业务流程有什么影响,为什么要选择redis,redis的实现原…

【原创】大叔经验分享（1）在yarn上查看hive完整执行sql

hive执行sql提交到yarn上的任务名字是被处理过的,通常只能显示sql的前边一段和最后几个字符,这样就会带来一些问题: 1)相近时间提交了几个相近的sql,相互之间无法区分: 2)一个任务有问题,想看下这个任务具体执行的是什么?是谁的任务? 通过以下方法可以查看: 1)如果任务正在running,进入yarn的ApplicationMaster页面,进入job,点击configuration,右上角过滤框输入“hive.query.string”即可,如图: 2)如果任务已经结束,进入hi…

Java审计之CMS中的那些反序列化漏洞

Java审计之CMS中的那些反序列化漏洞 0x00 前言过年这段时间比较无聊,找了一套源码审计了一下,发现几个有意思的点拿出来给分享一下. 0x01 XStream 反序列化漏洞下载源码下来发现并不是源代码,而是一个的文件夹,里面都已经是编译过的一个个class文件. 在一个微信回调的路由位置里面找到通过搜索类名 Serialize关键字找到了一个工具类,并且参数是可控的. 这里调用xstream.fromXML(xml)进行反序列化. 而下面这个看了一下lib文件夹下面的组件其实是有着cc…

关于Java解压文件的一些坑及经验分享(MALFORMED异常)

文章也已经同步到我的csdn博客: http://blog.csdn.net/u012881584/article/details/72615481 关于Java解压文件的一些坑及经验分享就在本周, 测试人员找到我说现上的需求文档(zip格式的)无法预览了, 让我帮忙看看怎么回事. 这个功能也并不是我做的, 于是我便先看看线上日志有没有什么错误,果不其然, 后台果然报错了. java.lang.IllegalArgumentException:MALFORMED at java.util.zi…

以技术面试官的经验分享毕业生和初级程序员通过面试的技巧（Java后端方向）

本来想分享毕业生和初级程序员如何进大公司的经验,但后来一想,人各有志,有程序员或许想进成长型或创业型公司或其它类型的公司,所以就干脆来分享些提升技能和通过面试的技巧,技巧我讲,公司你选,两厢便利. 毕业生和初级程序员(一般是工作经验3年以下)大多处于事业的青黄不接的阶段,在找工作时往往会遇到缺乏实际项目经验的瓶颈,作为技术面试官,我也经常在面试过程中感受到这些候选人缺乏实际经验的缺陷.不过本人之前做过java兼职培训老师,也总结了些这批人群提升实际技能和面试技能的技巧,最近也老有人来问我这个,所…

2019年京东Java研发岗社招面经（面试经历+真题总结+经验分享）！

本篇先以日历形式回顾秋招之路,方便各位参考某厂的处理进度:然后是总结归纳春秋招Java面试题库:最后做个总结还有展望,开始新的征程~ 面试经历京东面试真题面试经验分享1.面试经历 2018年的冬季特别的冷,无疑是程序员的寒冬,我也是年底裁员大潮裁下来的一名,(整个业务线都裁了难受中~)但临近年底了失业回家也不太好所以有投了几份简历,其中投京东的一份,京东Java岗要求. 岗位描述:1.参与京东金融保险核心业务系统底层架构设计及重构工作:2.持续优化高并发场景下系统性能:3.与保险公司接口对接及…

Java这样学，Offer随便拿，学习方法和面试经验分享

Java这样学,Offer随便拿,学习方法和面试经验分享学习中:https://mp.weixin.qq.com/s/iSutLzqCiPMWwm_Rm_2oPw…

Java审计之文件操作漏洞

Java审计之文件操作漏洞篇 0x00 前言本篇内容打算把Java审计中会遇到的一些文件操作的漏洞,都给叙述一遍.比如一些任意文件上传,文件下载,文件读取,文件删除,这些操作文件的漏洞. 0x01 文件上传漏洞 RandomAccessFile类上传文件案例: package com.test; import java.io.File; import java.io.FileOutputStream; import java.io.IOException; import java.io.Inp…

（）IT 职场经验）一位10年Java工作经验的架构师的经验分享，感觉很受用。

阿里巴巴技术大牛黄勇的经验分享,感觉很受用. 关于IT 职场经验 1. 把技术当成工具技术这东西,其实一点都不神秘,它只不过是一个工具,用这个工具可以帮助我们解决实际问题,就这么简单. 我们每天在面对技术,市面上也有很多技术,真的没有必要把这些技术都拿过来学习一遍,然后想办法找个场景去应用它.如果真的这样做了,那么只能说明技术不是工具,而是玩具,技术不是这样玩的. 我们应该从另一个角度来看待技术,不妨从自己的实际工作环境出发,现在需要什么,我们就学什么,而不要漫无目的的追求一些新技术.当然,对…

实战分享丨MySQL 与Django版本匹配相关经验

摘要:关于MySQL 与Django版本匹配相关知识的经验分享. run: (env) E:\PythonPro\PyDjangoProDemo011\xuanyuaniotpro>python manage.py migrate 报错代码提示如下: raise errorclass(errno, errval) django.db.utils.ProgrammingError: (, "You have an error in your SQL syntax; check the man…

项目经验分享——Java常用工具类集合转

http://blog.csdn.net/xyw591238/article/details/51678525 写在前面本文涉及的工具类部分是自己编写,另一部分是在项目里收集的.工具类涉及数据库连接.格式转换.文件操作.发送邮件等等.提高开发效率,欢迎收藏与转载. 数据库连接工具类数据库连接工具类——仅仅获得连接对象 ConnDB.java [java] package com.util; import java.sql.Connection; im…

线上Linux服务器运维安全策略经验分享

线上Linux服务器运维安全策略经验分享 https://mp.weixin.qq.com/s?__biz=MjM5NTU2MTQwNA==&mid=402022683&idx=1&sn=6d403ab4472e8c6fb5615e3694ef1abf&scene=0&key=710a5d99946419d997addab69cf0313c7ced31d81e1b0f726bba0a78487df51caa8962eee72d85ca945bb3b71f1c7447…

Linux服务器运维安全策略经验分享

http://jxtm.jzu.cn/?p=3692 大家好,我是南非蚂蚁,今天跟大家分享的主题是:线上Linux服务器运维安全策略经验.安全是IT行业一个老生常谈的话题了,从之前的“棱镜门”事件中折射出了很多安全问题,处理好信息安全问题已变得刻不容缓.因此做为运维人员,就必须了解一些安全运维准则,同时,要保护自己所负责的业务,首先要站在攻击者的角度思考问题,修补任何潜在的威胁和漏洞.今天,我为大家讲的,主要分五部分展开:账户和登录安全账户安全是系统安全的第一道屏障,也是系统安全的核心,保障登录…

【微学堂】线上Linux服务器运维安全策略经验分享

技术转载:https://mp.weixin.qq.com/s?__biz=MjM5NTU2MTQwNA==&mid=402022683&idx=1&sn=6d403ab4472e8c6fb5615e3694ef1abf&scene=0&key=710a5d99946419d997addab69cf0313c7ced31d81e1b0f726bba0a78487df51caa8962eee72d85ca945bb3b71f1c7447&ascene=7&…

Android内存优化解决资料和总结的经验分享

在前公司做一个图片处理的应用时, 项目交付的时候,客户的手机在运行应用的时候,一直在崩溃,而这个异常就是OutOfMemory的错误,简称为OOM, 搞得我们也是极其的崩溃,最后 ,我们是通过网上搜集资料和代码走查的方式来优化解决的,这里,我就把我们收集到资料和总结的经验分享下吧. Android的虚拟机是基于寄存器的Dalvik,它的最大堆大小一般是16M,有的机器为24M.我们平常看到的OutOfMemory的错误,通常是堆内存溢出.移动开发和web开发的最大的区别是设备资源受限,对一般手…

android平台短视频技术之视频编辑的经验分享.

android平台短视频技术之视频编辑的经验分享. 提示一: 各位看官,这里分享的是视频编辑,即剪切/拼接/分离/合并/涂鸦/标记/叠加/滤镜等对视频的编辑操作.不是流媒体网络播放等功能,请注意. 提示二: 这些文字90%的为普及知识,10%为宣传我们的SDK,因为分享别人,有利自已,才是良性循环,才可以让我们持续分享,毕竟只分享,不有益很难持续下去.要养家糊口啊^_^. 提示三:我们是android视频编辑的专业团队,以下分享的文字,完全实际经验总结,每一个知识点您都可以在我们的SDK或开源…

经验分享：如何用grep对PHP进行代码审计

这是一个常见的误解- 企业需要购买复杂和昂贵的软件来发现应用程序中安全漏洞:而这些专门的软件应用程序,无论是黑盒或白盒,开源或商业,都能很快的发现安全漏洞. 事实是:所有这些专业的漏洞扫描工具都有其特定的优势和劣势.有些可能是ASP为中心的,而其他工具更倾向于PHP.开发团队可能会因为提高扫描速度的要求,会忽略不值得被报告的漏洞.如果你想在一定时间内找到尽可能多的安全漏洞,需要使用所有的工具. 没有一个漏洞扫描器或技术会发现你应用程序中100%的安全漏洞,即便你使用了各种工具和技术.这篇文章中我…

沉淀，再出发——在Ubuntu Kylin15.04中配置Hadoop单机/伪分布式系统经验分享

在Ubuntu Kylin15.04中配置Hadoop单机/伪分布式系统经验分享一.工作准备首先,明确工作的重心,在Ubuntu Kylin15.04中配置Hadoop集群,这里我是用的双系统中的Ubuntu来配制的,不是虚拟机.在网上有很多配置的方案,我看了一下Ubuntu的版本有14.x,16.x等等,唯独缺少15.x,后来我也了解到,15.x出来一段时间就被下一个版本所替代了,可能有一定的问题吧,可是我还是觉得这个版本的用起来很舒服,但是当我安装了Ubuntu kylin15.04之后…

我的秋招经验分享（已拿BAT头条网易滴滴）

微信公众号[程序员江湖] 作者黄小斜,斜杠青年,某985硕士,阿里 Java 研发工程师,于 2018 年秋招拿到 BAT 头条.网易.滴滴等 8 个大厂 offer,目前致力于分享这几年的学习经验.求职心得和成长感悟,以及作为程序员的思考和见解.(关注公众号后回复”资料“即可领取 3T 免费技术学习资源) 时间过得很快,已经到了九月中旬,从16年读研到现在将近两年的时间里,从一个Java初学者慢慢成长为一个合格的开发者,中间也遇到了很多困难. 我不是科班出身,所以是跨专业考研,所以在算法,…

weblogic发序列化命令执行漏洞工具分享

weblogic发序列化命令执行漏洞工具分享(链接: https://pan.baidu.com/s/1qE5MFJ32672l-MMl-QL-wQ 密码: d85j) JBOSS_EXP 工具分享(链接: https://pan.baidu.com/s/1SF_0oSN_lar9dkTWOZKDDw 密码: zfrd) oracle提权执行命令工具oracleshell 工具分享(链接: https://pan.baidu.com/s/1boILwEr 密码: 3h13) ...... udf…

标题: [心得]传统IT转互联网面试经验分享

发信人: lgonnet (逃之夭夭), 信区: Java标题: [心得]传统IT转互联网面试经验分享发信站: 水木社区 (Wed Jul 1 10:18:38 2015), 站内统一回复一下:1. 这些都会了能拿多少钱?这个我也不知道啊, 给你开多少钱更多的取决于你现在的薪水.工作经历.教育背景等 2. 面试什么职位时会考这些题?这些题偏向于server端开发工程师,但是其他的java开发职位也有可能考到,因为很多都是基础知识 =============================…

好文推荐：转载一篇别人kaggle的经验分享

转载:https://www.toutiao.com/i6435866304363627010/ 笔者参加了由Quora举办的Quora Question Pairs比赛,并且获得了前1%的成绩.这是笔者Kaggle首战,所以写下此文来系统化地梳理比赛的思路,并且和大家分享我们参赛的一些心得. Quora Question Pairs是一个自然语言(NLP)比赛,比赛的题目可以简单地概括为“预测两个问句的语义相似的概率”.其中的样本如下: 打Kaggle比赛的大致套路(比赛篇) 我们队伍和其他出…