摘要：
Java安全之ClassLoader 类加载机制 Java中的源码.java后缀文件会在运行前被编译成.class后缀文件，文件内的字节码的本质就是一个字节数组 ，它有特定的复杂的内部格式，Java类初始化的时候会调用java.lang.ClassLoader加载字节码，.class文件中保存着Ja 阅读全文
摘要：
初探DispatcherServlet#doDispatch 写在前面 SpringBoot其实就是SpringMVC的简化版本，对于request的处理流程大致是一样的， 都要经过DispatcherServlet拦截之后通过相应的Handler去寻找对应的Controller处理业务最后返回Mo 阅读全文
摘要：
Java之SpringBoot自定义配置与整合Druid SpringBoot配置文件 优先级 前面SpringBoot基础有提到，关于SpringBoot配置文件可以是properties或者是yaml格式的文件，但是在SpringBoot加载application配置文件时是存在一个优先级的。优 阅读全文
摘要：
Java之SpringBoot-Thymeleaf 写在前面 聊Thymeleaf，需要知道为什么到了SpringBoot中就不用JSP了？这跟SpringBoot打包方式有点关系，SpringBoot项目打包是jar包，那么简单看一下我们之前SSM中的war包和jar包的区别。 war包代表Jav 阅读全文
摘要：
Java之初探SpringBoot About SpringBoot 引用一段狂神的介绍。个人感觉可以理解为是作为SSM的一个优化，将SpringMVC和Spring中繁杂的配置用SpringBoot来代替，减少对于配置的编写和操作，让开发人员更注重于代码本身。 Spring Boot 基于 Spr 阅读全文
摘要：
Java审计之文件操作 写在前面 之前有写过文件上传审计相关的小结，现在来学习下其他类型的文件操作，因为之前觉得文件上传是应该单独拿出来的一个点去学习，所以没有放在文件操作里面。 任意文件读取/下载 @WebServlet("/FileRead") public class FileRead ext 阅读全文
摘要：
Java审计之命令执行 写在前面 其实之前第一次审计时也有遇到过命令执行的漏洞，包括之前学习反射时也有接触到。所以潜意识里对此也觉得这个洞审起来应该不会太难，重点看一下Runtime，ProcessBuilder，getMethod可能就行了。结果在网上一冲浪才发现姿势原来还有这么多... 😄 ， 阅读全文
摘要：
Java审计之SSRF Java中的SSRF SSRF(Server-Side Request Forge, 服务端请求伪造)，一般在一些请求url资源的时候会遇到，如?url=https://ip:prot/xxx.jpg请求别的站点的静态资源之类的。 SSRF在PHP中可能骚操作会比较多，主要是 阅读全文
摘要：
Java审计之XXE 写在前面 因为已经很久没有接触到XXE了，所以借此机会打算温习一遍XXE再来讲一下在Java中去审计XXE的一个思路和流程。 About XXE 基础知识 XXE(XML External Entity Injection) 全称为 XML 外部实体注入，与其他的注入漏洞类似， 阅读全文
摘要：
在一次灰盒测试时发现burp发POST请求时不能正确的传输序列化过后的ysoserial的payload。 虽然这里我也很奇怪，因为有的时候burp发过去是没问题，有时候就是不行的。 参考并修改了weblogic.py，通过http post方式发送ysoserial的payload。 旨在方便测试 阅读全文