反序列化

当前标签查找到共 9 个相关结果
CVE-2019-2725高版本POC拓展
网络安全
CVE-2019-2725高版本POC拓展

0x00 前言 在对大佬们高版本的POC进行分析后,我把重点放在了如何绕过黑名单限制上,那么利用XML可以解析的其它编码格式尝试一下绕过。 0x01 补丁回顾 首先回顾一下这个经典的补丁截图,摘自: http://www.sd.edu...

Java安全之Weblogic 2016-3510 分析
网络安全
Java安全之Weblogic 2016-3510 分析

0x00 前言 续前面两篇文章的T3漏洞分析文章,继续来分析CVE-2016-3510漏洞,该漏洞一样是基于,前面的补丁进行一个绕过。 0x01 工具分析 这里还需要拿出上次的weblogic_cmd的工具来看一下CVE-2016-3510的命令执行...

CVE-2020-2555——Coherence反序列化初探
网络安全
CVE-2020-2555——Coherence反序列化初探

  一、原理 (一)概述 不安全的反序列化漏洞已成为针对Java Web应用程序的研究者的普遍目标。这些漏洞通常会导致RCE,并且通常不容易彻完全修补。CVE-2020-2555就属于这一类。 针对CVE-2015-4852的补丁的绕...

CVE-2016-0638——WebLogic反序列化初探
网络安全
CVE-2016-0638——WebLogic反序列化初探

  一 、原理 (一)概述 概述链接1 概述链接2 接CVE-2015-4852, Oracle使用黑名单进行了防护,如下, 看一下CVE-2015-4852调试过程中记录的信息, functors在3个点完全被禁, 再看看触发时的调用栈, 结合...

XStream反序列化CVE-2020-26217漏洞分析
网络安全
XStream反序列化CVE-2020-26217漏洞分析

  引言 近期,XStream发布了关于CVE-2020-26217的公告,通过该漏洞攻击者可发送恶意构造的xml,在受影响版本(<=1.4.13)的XStream上直接RCE。   XStream反序列化原理 与传统的Java反序列化不同,XStr...

CVE-2015-4852——WebLogic反序列化初探
网络安全
CVE-2015-4852——WebLogic反序列化初探

  假期,我学习复现并调试分析了WebLogic反序列化漏洞中的CVE-2015-4852。在这个过程中,我学习里一些Java的基础知识,也借鉴了很多网上大牛的分析文章。   一、搭建环境 1.远程docker ​ 起初在Windows...