shiro java 反序列漏洞复现 打开虚拟机启动靶场/vulhub-master/shiro/CVE-2016-4437环境（省略） 推荐网址：https://www.cnblogs.com/bmjoker/articles/11650295.html 首先判断是否存在shiro反序列化漏洞： ...
分类：
编程语言 时间：
2020-06-07 19:31:20
阅读次数：
335
Java 提供了一种对象序列化的机制，该机制中，一个对象可以被表示为一个字节序列，该字节序列包括该对象的数据、有关对象的类型的信息和存储在对象中数据的类型。 将序列化对象写入文件之后，可以从文件中读取出来，并且对它进行反序列化，也就是说，对象的类型信息、对象的数据，还有对象中的数据类型可以用来在内存 ...
分类：
编程语言 时间：
2020-06-04 16:53:19
阅读次数：
66
0x01 shiro简介： Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。 0x02 漏洞介绍： Shiro提供了记住我（Remem ...
分类：
Web程序 时间：
2020-06-04 14:10:11
阅读次数：
333
Django之ajax的数据传输和分页器 ajax 前后端传输数据的编码格式(contentType) # 我们主要研究post请求数据的编码格式 """ get请求数据就是直接放在url后面的 url?username=jason&password=123 """ # 可以朝后端发送post请求的 ...
分类：
Web程序 时间：
2020-06-04 01:28:44
阅读次数：
92
本文目录简单梳理理解对于文件流来说是io流的基础，牵扯到缓冲流，缓冲流是在内存中使用io流的各类操作，转换流顾名思义，是字节与字符流之间的转换，要先有字节流和字符流，对象流，最主要的是类的序列化与反序列化，相当于一个封装转化，随机存取流，也是在有字节流和字符流的基础上。File类能新建，删除，重命名文件和目录，但不能访问文件内容，访问文件内容要通过输入/输出流简单梳理File操作packageda
分类：
编程语言 时间：
2020-06-04 01:20:15
阅读次数：
83
1. 条件1）攻击者可以控制服务器上的文件名/文件内容2）tomcat context配置了persistencemanager的fileSotre3) persistenceManager 配置了sessionAttributeValueClassNameFilter的值为NULL或者宽松过滤4） ...
分类：
其他好文 时间：
2020-06-02 11:11:38
阅读次数：
77
Weblogic反序列化漏洞 0x00 漏洞描述 CVE-2019-2725是一个Oracle weblogic反序列化远程命令执行漏洞，这个漏洞依旧是根据weblogic的xmldecoder反序列化漏洞，通过针对Oracle官网历年来的补丁构造payload来绕过。 0x01 影响范围 webl ...
分类：
Web程序 时间：
2020-06-01 20:45:19
阅读次数：
177
ps:我是一名新手，代码基本靠抖，偶尔代码顺畅，只因运气帮忙。 ###两种定义序列化器的方式 #定义 serializers.py class UserSerializer(serializers.ModelSerializer): """ 用户数据序列化器 """ class Meta: mode ...
分类：
其他好文 时间：
2020-06-01 20:36:13
阅读次数：
77
1.POP链原理简介： 在反序列化中，我们能控制的数据就是对象中的属性值，所以在PHP反序列化中有一种 漏洞利用方法叫"面向属性编程"，即POP( Property Oriented Programming)。 在反序列化漏洞利用中，最理想的情况就是漏洞能利用的点在那几个魔幻函数中， 而实际上往往是 ...
分类：
其他好文 时间：
2020-06-01 13:58:38
阅读次数：
70
一道浙大的题目 题目地址：http://web.jarvisoj.com:32784 拿到这道题目， 是一道反序列化的题目，题目源码很简单，当创建OowoO()这个类的对象时，会自动调用__construct()这个魔术方法，给mdzz这个变量赋值为"phpinfo();"，然后程序执行结束后会自动 ...
分类：
编程语言 时间：
2020-06-01 13:39:46
阅读次数：
85
