欢迎和大家交流技术相关问题: 邮箱: jiangxinnju@163.com 博客园地址: http://www.cnblogs.com/jiangxinnju GitHub地址: https://github.com/jiangxincode 知乎地址: https://www.zhihu.com/people/jiangxinnju 漏洞介绍 国外的研究人员zero thoughts发现了一个Spring框架的反序列化远程代码执行漏洞. spring-tx.jar包中的org.springf

理解这个漏洞需要先看freebuff上的jdni的小例子. jndi注入在jdk8u121绕过参考这俩篇文章: https://bl4ck.in/tricks/2019/01/04/JNDI-Injection-Bypass.html https://www.veracode.com/blog/research/exploiting-jndi-injections-java server端代码: import com.sun.jndi.rmi.registry.ReferenceWrapper;

Tomcat 中Jndi是使用Tomcat自带的连接池,由于客户要求,抛弃Tomcat自带的连接池.使用c3p0 .经过几个小时调试,解决方案如下: 环境:Tomcat 6 下面来看Jndi 与 c3p0 结合: 下载地址:http://nchc.dl.sourceforge.net/sourceforge/ c3p0/c3p0c3p0-0.9.0.4.bin.zip 把 c3p0-0.9.0.4.jar 放到应用服务的%tomcat6%/lib目录下.如: 1.在context.xml中<Co

xml配置: <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource"> <property name="driverClassName" value="oracle.jdbc.driver.OracleDriver" /> <property name="url&q

java反序列化漏洞是与java相关的漏洞中最常见的一种,也是网络安全工作者关注的重点.在cve中搜索关键字serialized共有174条记录,其中83条与java有关:搜索deserialized共有20条记录,其中10条与java有关.这些出现反序列化漏洞的框架和组件包括的大名鼎鼎的spring,其中还有许多Apache开源项目中的基础组件.例如Apache Commons Collections. 这些基础组件大量被其他框架或组件引用,一旦出现漏洞就会引起大面积的网络安全事故,后果非常严

一.JNDI是什么? JNDI--Java 命名和目录接口(Java Naming and Directory Interface),是一组在Java应用中访问命名和目录服务的API. 二.JNDI好处 解耦:通过注册.查找JNDI服务,可以直接使用服务,而无需关心服务提供者,这样程序不至于与访问的资源耦合! JNDI优点 写道 JNDI优点  包含了大量的命名和目录服务,使用通用接口来访问不同种类的服务: 可以同时连接到多个命名或目录服务上: 建立起逻辑关联,允许把名称同Java对象或资源关联

weblogic之CVE-2018-3191漏洞分析 理解这个漏洞首先需要看这篇文章:https://www.cnblogs.com/afanti/p/10193169.html 引用廖新喜说的,说白的就是反序列化时lookup中的参数可控,导致 JNDI注入 AbstractPlatformTransactionManager这个黑名单就是用于防止Spring JNDI注入,从官方以前的黑名单上就能看到org.springframework.transaction.support.Abstra

1) 错误:The prefix "context" for element "context:property-placeholder" is not bound.    解决:在文件头中引入:xmlns:context="http://www.springframework.org/schema/context" 就可以.   正解样例:   <beans xmlns="http://www.springframework.o

一.回想 还记得以前自学的时候,刚接触到数据库,讲解的连接数据库的最基本的理论知识和方法,现在温习一下基础知识并总结如下! 1.JDBC连接数据库的基本流程 加载JDBC驱动程序 —> 提供JDBC连接的URL,ROOT,PASSWORD —> 连接数据库 —> 获取Statement相关类 —> 完成增删改 —> 关闭JDBC的相关对象 2.详细 ①JDBC的驱动程序的加载 网上有说到JDBC加载驱动程序有4种方法,但是不太明白.这里用java的反射来完成驱动程序的加载.但

springboot打war包 1.在pom文件中增加插件 <build> <finalName>xx</finalName> <plugins> <plugin> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-maven-plugin</artifactId> </plugin> <plug

SpringBoot版本:2.1.2.RELEASE 1.maven <parent> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-parent</artifactId> <version>2.1.2.RELEASE</version> </parent> <dependency> <g

前言 之前在分析spring boot 源码时导出可见@ConditionalOnBean 之类的注解,那么它到底是如何使用的以及其工作流程如何,我们这里就围绕以下几点来分析: @Conditional系列与Condition的关系:@ConditionalXxx是注解,XxxCondition是对前面注解的对应处理类. @Conditional与Condition的源码分析 总结 一.@Conditional系列与Condition的关系 @ConditionalXxx是注解,XxxCondi

首先说一下背景,目前笔者的工作是物联网方面的,设备有对应的智慧运营平台,平台开发中建表的主键用的是Mybatis plus默认的雪花算法来生成的,也就是分布式系统比较常用的雪花ID,技术栈就是常用的Spring boot+Spring could Alibaba,json工具用的是FastJson. 在开发的过程中遇到了一个问题:前端接收到的数据在回传给后端的时候ID总是不对,仔细排查发现,前端接收到的数据的ID末尾两到三位数字都变成了0.雪花ID的长度是19位数字,系统在bean中的ID用的是

我的配置环境是:Spring + Tomcat + MySql 说明: 1. $TOMCAT_HOME代表Tomcat的安装目录. 第一步:在Tomcat的$TOMCAT_HOME/conf/context.xml文件中配置数据源. <Resource name="jdbc/TestDB" auth="Container" type="javax.sql.DataSource" maxActive="100" maxId

spring  AplicationContext.xml中的配置 <bean id="dataSource1" class="org.springframework.jndi.JndiObjectFactoryBean"> <property name="jndiName" value="MySQLTEST"></property> </bean> jboss中mysql-ds

在做spring有关的项目时,往往需要配置数据源,当然配置的方式有很多种,可以单独写在一个properties文件中,这样修改数据源配置的话比较容易,也比较简单,下面介绍另外一种数据源的配置 利用jndi来配置数据源,该如何配置呢??? 一.方式一 1) 添加如下代码到tomcat的conf目录下的server.xml中: <Context> <Resource name="jdbc/demoDB" auth="Container" type=&q

一.使用jndi的方式 这种方式方便测试人员不需要改代码,直接改变tomcat的server.xml就可以更改数据库连接 spring创建bean <bean id="dataSource" class="org.springframework.jndi.JndiObjectFactoryBean" scope="singleton" lazy-init="default" autowire="default&

由于项目将原有的  Date类型的字段改造为 LocalDate,LocalDateTime,LocalTime 类型, 发现  spring  对项目的时间格式无法自动转换,故需手动配置下. 在spring boot  中需在  maven 中引入  jsr-310  的支持 <dependency> <groupId>com.fasterxml.jackson.datatype</groupId> <artifactId>jackson-datatype

前言 调试之前请先关闭Favicon配置 spring:     favicon:       enabled: false 不然会发现有2个请求(如果用nginx+ 浏览器调试的话) 序列化工具类[fastjson版本1.2.37] ```public class FastJson2JsonRedisSerializer implements RedisSerializer {     public static final Charset DEFAULT_CHARSET = Charset.

1.在tomcat下的server.xml的 <GlobalNamingResources> </GlobalNamingResources>添加下面代码 <Resource name="jdbc/mysql" auth="Container" type="javax.sql.DataSource" driverClassName="com.mysql.jdbc.Driver" url="