CC链 CB链与shiro fastjson1.2.24 <=1.2.47判断key值是否为@type之后做了一个checkAutoType的校验，被黑名单拦截 解决方法：向缓存类中添加一些我们的恶意类 <=1.2....

首发于先知社区，原文作者：Sherlock，原文链接：https://xz.aliyun.com/news/17923 前言最近开始学习spring链子，看网上分析spring链子的文章不多，讲的也比较简单，还都是yso中的spring1的链子分...

引用WebDog必学的JDBC反序列化 JDBC反序列化漏洞分析 小白看得懂的MySQL JDBC 反序列化漏洞分析 Java安全之JDBC Attacks学习记录 JDBC简介BC（Java DataBase Connectivity）是一种用于执...

引用Java安全学习——ROME反序列化 Java反序列化之Rome 什么是ROMEROME 是一个可以兼容多种格式的 feeds 解析器，可以从一种格式转换成另一种格式，也可返回指定格式或 Java 对象。ROME 兼容了 RSS (0.90, 0...

引用Java反序列化之Hessian Java安全之Hessian反序列化 Hessian协议Hessian是一个基于RPC的高性能二进制远程传输协议，官方对Java、Flash/Flex、Python、C++、.NET C#等多种语言都进...

hibernate1hibernate>=5导入依赖12345<dependency> <groupId>org.hibernate</groupId> <artifactId&g...

引用深入浅出解析Jackson反序列化 前言jackson相关基础知识这里就不赘述了，可参看引用 逻辑跟fastjson差不多 jackson简单使用依赖 1234567891011121314151617<dependencies> ...

引用fastjson FastJson<=1.2.68RCE原理详细分析 fastjson 1.2.80 漏洞浅析及利用payload FastJson与原生反序列化 FastJson与原生反序列化(二) 高版本Fastjson：Ge...

引用Java安全学习——JNDI注入 JNDI概述JNDI（Java Naming and Directory Interface，Java命名和目录接口）是SUN公司提供的一种标准的Java命名系统接口。JNDI提供统一的客户端API，并由管理者将...

引用Java安全之RMI反序列化 攻击注册中心客户端与注册中心进行交互可以使用以下几种方式： list bind rebind unbind lookup 这几种方法位于RegistryImpl_Skel.class文件中的dispatch方法中...