Weblogic Analysis Attacked by JNDI injection From CVE(part 4)

RoboTerh / 2022-11-22

接着前面的分析,这里主要是两个由JtaTransactionManager类的readObject方法调用过程中而造成的JNDI注入,其中第一个(CVE-2018-3191)是使用T3进行发送序列化数据,而第二个(CVE-2020-2551)这个经典的漏洞是通过IIOP来进行序列化数据的传递的

Weblogic Analysis Attacked by T3 Protocol From CVE (part 3)

RoboTerh / 2022-11-03

继续抽空学习Weblogic CVE中有关T3协议的漏洞利用方式!

Weblogic Analysis Attacked by T3 Protocol From CVE (part 2)

RoboTerh / 2022-10-24

这篇是继上篇中的T3协议进行漏洞利用,继续分析Weblogic CVE的有关利用方式和修复手法

Weblogic Analysis Attacked by T3 Protocol From CVE (part 1)

RoboTerh / 2022-10-11

WebLogic是美国Oracle公司的主要产品之一,是商业市场上主要的 J2EE 应用服务器软件,也是世界上第一个成功商业化的J2EE应用服务器,在 Java 应用服务器中有非常广泛的部署和应用。

我们这里通过Weblogic的CVE来学习各种的利用手法。

Dubbo反序列化漏洞分析集合2

RoboTerh / 2022-09-23

这篇是对上一篇进行了补充,添加了两个Hessian协议的分析和Kryo<5.0.0的利用和MRCTF中的Kryo>5.0.0特定场景利用。

Dubbo反序列化漏洞分析集合1

RoboTerh / 2022-09-09

Apache Dubbo是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用、智能容错和负载均衡、以及服务自动注册和发现。

Dubbo RPC是Apache Dubbo体系中最核心的一种高性能、高吞吐量的远程调用方式,主要用于两个Dubbo系统之间远程调用。在Dubbo RPC中,支持多种序列化方式,如dubbo序列化、hessian2序列化、kryo序列化、json序列化、java序列化等等

XStream通览漏洞分析

RoboTerh / 2022-08-16

XStream是一个简单的基于Java库,Java对象序列化到XML,反之亦然(即:可以轻易的将Java对象和xml文档相互转换)。

RoboTerh

这个人很懒,没有留下任何介绍

twitter weibo github wechat

随机分类

逆向安全 文章:70 篇
SQL注入 文章:39 篇
漏洞分析 文章:212 篇
数据分析与机器学习 文章:12 篇
Java安全 文章:34 篇

最新评论

Article_kelp

因为这里的静态目录访功能应该理解为绑定在static路径下的内置路由,你需要用s

N

Nas

师傅您好!_static_url_path那 flag在当前目录下 通过原型链污

Z

zhangy

你好,为什么我也是用windows2016和win10,但是流量是smb3,加密

0

0x0dee

标题写错了,是ASX to MP3 3.1.3.7 - '.m3u' Local

K

k0uaz

foniw师傅提到的setfge当在类的字段名成是age时不会自动调用。因为获取