安全客 - 安全资讯平台

代码审计

URLDNS链&CommonsCollections链详细分析

代码审计

java安全

在学习java安全时，ysoserial项目是一个非常值得的项目，这里记录一下自己学习过程中的思路及反序列化链的构造方式。

H3rmesk1t
2021-12-27 16:30:31

411947次阅读

java安全

Java安全之Thymeleaf SSTI分析

java安全

SSTI

Thymeleaf

Thymeleaf是SpringBoot中的一个模版引擎，个人认为有点类似于Python中的Jinja2，负责渲染前端页面。

Zh1z3ven
2021-11-02 16:30:03

362925次阅读

golang

二进制角度构造Java反序列化Payload

最近用Go编写Java反序列化相关的扫描器，遇到一个难点：如何拿到根据命令生成的payload。

1
2021-09-01 10:30:03

289458次阅读 1

Fastjson三种利用链对比分析

Fastjson已被大家分析过很多次，笔者是java小白，尝试跟着大佬的步伐做一些分析。

1
2021-08-12 10:00:31

314427次阅读

golang

Golang实现RMI协议自动化检测Fastjson

笔者继续带大家炒Fastjson的冷饭。关于漏洞分析和利用链分析文章网上已有大量，但是关于如何自动化检测的文章还是比较少见的，尤其是如何不使用Java对Fastjson做检测。

1
2021-08-06 10:00:15

294176次阅读 1

招聘

完美世界招聘 | 信息安全部九大职位虚位以待，快到我碗里来~

完美世界控股集团是全球领先的文化娱乐产业集团。长期以来，完美世界控股集团旗下产品遍布美、欧、亚等全球100多个国家和地区；在北京、香港、上海、重庆、成都、珠海，以及美国、荷兰、韩国、日本等地区设有20多个分支机构。

张天师醒醒
2019-10-31 18:31:45

373157次阅读 3

漏洞分析

谨防Magic SpEL - Part 2（CVE-2018-1260）

漏洞分析

java安全

CVE-2018-1260

这里我们将对Spring Security OAuth2（CVE-2018-1260）中类似的RCE漏洞进行练习。我们将介绍攻击目标，它的发现方法和利用所需的条件。

一叶飘零
2018-06-21 16:10:32

223055次阅读

漏洞分析

谨防Magic SpEL - Part 1(CVE-2018-1273)

今年2月，我们使用一款安全漏洞扫描软件，在Spring Framework组件上至少扫描了100多个模块，包括核心部件(spring-core, spring-mvc）和可选组件（spring-data, spring-social, spring-oauth等）。

一叶飘零
2018-06-20 16:29:09

254791次阅读 2