高版本JDK在RMI和LDAP的trustURLCodebase都做了限制，从默认允许远程加载ObjectFactory变成了不允许。RMI是在6u132, 7u122, 8u113版本开始做了限制，LDAP是 11.0.1, 8u191, 7u201, 6u211版本开始做了限制。

所以修复后的JDK版本无法在不修改trustURLCodebase的情况下通过远程加载ObjectFactory类的方式去执行Java代码。

内存马是国内目前比较流行的web层权限维持方式，研究文章也特别多。本人阅读了rebeyond师傅的Java 内存攻击技术漫谈后，尝试利用其中的技术开发用于内存马检测的工具。

近日，Apache Log4j2 远程代码执行漏洞（CVE-2021-44228）被揭露，在整个安全圈都引起轰动。对于该漏洞的触发原理、各种绕过、以及后续的拒绝服务攻击漏洞等，均有大量文章分析的头头是道，这里不再对该漏洞进行阐述。在受到Log4j2影响的众多产品中，选择Apache Solr产品进行漏洞复现及利用，在内存马注入环节中遇到一些问题，相信有其他同学或许也遇到同样的问题，本文将针对Apache Solr内存马注入技术进行分析，希望与大家一起探讨。

最近的 Log4j2 漏洞在安全圈引起了轩然大波，可以说是核弹级别的漏洞，无论是渗透、研发、安服、研究，所有人都在学习和复现这个漏洞，由于其覆盖面广，引用次数庞大，直接成为可以与永恒之蓝齐名的顶级可利用漏洞，官方 CVSS 评分更是直接顶到 10.0，国内有厂商将其命名为“毒日志”，国外将其命名为 Log4Shell。

笔者目前就职于墨云科技，欢迎大家一起来交流、学习，因为之前有过参与RASP研究&研发的一些经验，而且看近两年IAST看着发展势头挺足，所以一直有时间想研究下IAST相关的技术，但是苦于国内外对于IAST具体实现的细节的一些文章并不是很多，唯一开源的IAST也就是洞态了，所以想自己对IAST原理进行简单的技术实现。正好最近有时候有点时间，所以抽空研究了下IAST相关的技术实现，笔者因为工作原因，已经将近2年多没有碰Java了，对于本文章中的一些疏漏点，且本文仅代表个人的一些观点，还望大家多多包涵。

“备周则意怠；常见则不疑。阴在阳之内，不在阳之对。”

                                                  ----《三十六计·瞒天过海》

在本篇开始之前默认读者已经对JDK7u21有一定的了解，因为JDK8u20实际上是JDK7u21的绕过方式。

ctf中的java题目学习

笔者是一个刚入门SS\Java安全的萌新，一个月前跟着P神的Java安全漫谈开始学习Java反序列化漏洞。笔者学习的方法是看完文章然后拷贝代码下来idea跟着调一遍，每次调完后会感觉自己已经完全掌握了这条利用链，但是在之后一段时间重新看这条链时会发现完全搞不懂，就这样折腾了几天。写这篇文章的目的是帮助更多和我一样的萌新开始真正的利用链分析，而不是拷贝代码下来跟着调就行了，我会以构造利用链的角度，每一步会有一个小demo演示如何构造这一部分的代码，希望能帮到更多和我一样不知道怎么入门的萌新。如文章有什么错误欢迎大佬指出，也欢迎各位读者加联系方式一起讨论。

之前在先知社区写过相关的文章。
文章过于粗糙，一些基础原理和细节问题没有谈明白。
所以再写一篇文章做更完善的分析。

刚看到年初时挖的洞分配了CVE，也有师傅已经做了一些分析并给出了poc证明图，因此我在这里将我当时的一些笔记发出来。在先知上有人对CVE-2021-26086以及CVE-2021-26085都分别进行了分析，这两个CVE分别对应Jira Software Server和Confluence，Confluence分析的较为完整，Jira的分析稍显单薄，由于本质原因基本一样，因此这篇文章就主要说一下Jira。

最开始我在《CodeQL与Shiro550的碰撞》的文章中提出了基于p牛写的依赖shiro1.2.4原生依赖CommonsBeanutils的漏洞gadget挖掘出了更多版本的漏洞gadget。之后我在使用CodeQL研究JNDI的漏洞触发类的挖掘办法，某天晚上玩着手机就突然想到如果我将这个方法用到挖掘漏洞gadget上呢？会有什么效果呢？虽然是一次失败的经历，但让笔者我对挖掘漏洞Gadget有了进一步深刻的理解。

前段时间笔者在研究AST相关技术和JS的混淆技巧，无意间想到，能否将一些技术和思路应用在Webshell的免杀呢？

于是尝试编写了一个自动生成免杀Webshell的工具。

在之前的文章《JavaWeb 内存马一周目通关攻略》中，总结了一些目前行业主流的内存马的实现方式，目前对于内存马的研究和讨论，在国内确实比较火，经常能看见各种各样的文章，在国外讨论的较少，因为歪果仁的日站习惯并不是webshell，而通常是reverse shell。

刚过完儿童节回来发现struts2 出了S033，于是放下手中的棒棒糖赶紧分析一下。