29 篇博文 含有标签「Java 安全」

前言

近期收到一些反馈，部分刚入门 yaklang 的读者还比较迷茫。本篇将面向yaklang入门给大家介绍：如何使用yaklang针对Java类型漏洞编写POC。一些案例与实践

背景

JavaWeb 回显技术是做漏洞检测和利用绕不过去的。由于反连检测会受网络影响，对于内网或是网络环境差的场景有漏报的风险。所以本文研究下 JavaWeb 的回显。

2023 Aliyun CTF ezbean 是一道 CTF java 反序列化题目。题目的目的是让选手通过一个 java 原生反序列化入口，最终达成 RCE。本文对题目的几种解法做了具体的分析，主要分为预期解法和非预期解法两种思路。通过对 Fastjson 在反序列化的行为分析，从两个方向攻克本题。

JNDI核心原理详细分析

ps：在java版本大于1.8u191之后版本存在trustCodebaseURL的限制，只能信任已有的codebase地址，不再能够从指定codebase中下载字节码

前情回顾

背景

背景