Java安全之ysoserial-JRMP模块分析（一）

【Java安全之ysoserial-JRMP模块分析（一）】的更多相关文章

Java安全之ysoserial-JRMP模块分析（一）

Java安全之ysoserial-JRMP模块分析(一) 首发安全客:Java安全之ysoserial-JRMP模块分析(一) 0x00 前言在分析到Weblogic后面的一些绕过方式的时候,分析到一半需要用到ysoserial-JRMP该模块.不止是Weblogic的反序列化漏洞会利用到,其他的反序列化漏洞也会利用到,所以在此对该模块做一个分析.了解底层原理,一劳永逸.但看到网上分析文章偏少,如有分析错误望师傅们指出. 概述在这里简单来讲讲JRMP协议相关内容,JRMP是一个Java远程方…

Java高级项目实战02：客户关系管理系统CRM系统模块分析与介绍

本文承接上一篇:Java高级项目实战之CRM系统01:CRM系统概念和分类.企业项目开发流程先来CRM系统结构图: 每个模块作用介绍如下: 1.营销管理营销机会管理:针对企业中客户的质询需求所建立的信息录入功能,方便销售人员进行后续的客户需求跟踪与联系,提高企业客户购买产品的几率. 营销开发计划:开发计划是根据营销机会而来,对于企业质询的客户,对应会有相应的销售人员对于该客户进行具体的沟通交流,此时对于整个crm 系统而言,通过营销开发计划来进行相应的信息管理,提高客户的购买企业产品的可能性…

Java 安全之Weblogic 2018-2628&2018-2893分析

Java 安全之Weblogic 2018-2628&2018-2893分析 0x00 前言续上一个weblogic T3协议的反序列化漏洞接着分析该补丁的绕过方式,根据weblogic的补丁还是挺难找的,后面的分析中没有补丁看不到weblogic修复的细节,但是也不难猜处weblogic的这些修复都是老做法,使用黑名单的方式去进行修补漏洞. 0x01 补丁分析由于没拿到补丁,这里从廖师傅文章里面扣除补丁的细节. protected Class<?> resolveProxyCla…

Java 9 揭秘（4. 模块依赖）

文 by / 林本托 Tips 做一个终身学习的人. 在此章节中,主要学习以下内容: 如何声明模块依赖模块的隐式可读性意味着什么以及如何声明它限定导出(exports)与非限定导出之间的差异声明模块的运行时可选依赖关系如何打开整个模块或其选定的软件包进行深层反射 JDK 9中的访问类型跨模块分割包模块声明的约束不同类型的模块:命名,未命名,显式,自动,普通和开放的模块如何使用javap工具来解析模块的定义一. 声明模块依赖假设你现在已经有两个模块,分别是: com.jdojo…

Java安全之Cas反序列化漏洞分析

Java安全之Cas反序列化漏洞分析 0x00 前言某次项目中遇到Cas,以前没接触过,借此机会学习一波. 0x01 Cas 简介 CAS 是 Yale 大学发起的一个开源项目,旨在为 Web 应用系统提供一种可靠的单点登录方法,CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目,开源的企业级单点登录解决方案. 0x02 远程调试环境搭建下载地址,将环境war包下载,部署到tomcat即可 tomcat目录bin文件下,startup_debug.bat call %EXE…

Ysoserial Commons Collections2分析

Ysoserial Commons Collections2分析 About Commons Collections2 CC2与CC1不同在于CC2用的是Commons Collections4.0;同时利用方式CC2用到了Javassist动态编程,从功能上来说CC1用于执行命令,而CC2可以任意代码执行危害更大,所以像常用的shiro打内存马也会用到CC2. CC2 Gadget Chain Gadget chain: ObjectInputStream.readObject() Prior…