蹲在路边吃红薯

摘要： spring boot -- 如何在jvm堆信息中查找明文密码 在测试的时候发现网站图标为小绿叶，确定为Spring boot框架，然后访问env页面，会泄露服务器环境变量，服务，账号密码等信息。 在泄露的信息处可以看到dbconfig.dbs，数据访问链接等信息，确定为oracle数据库 user 阅读全文

摘要： Webmin远程命令执行（CVE-2019-15107） Webmin是一款基于web的Unix系统管理工具、管理员可通过浏览器访问Webmin的各种管理功能，完成对应的管理操作，当用户开启Webmin密码重置功能后，利用该漏洞可执行任意命令，获取系统权限 漏洞版本：Webmin<=1.9.20 使 阅读全文

摘要： CC1攻击链分析 Apache Commons Collections是一个扩展了Java标准库里的Collection结构的第三方基础库，它提供了很多强大的数据结构类型和实现了各种集合工具类。作为Apache开放项目的重要组件，Commons Collections被广泛的各种Java应用的开发。 阅读全文

摘要： java动态代理java代理是一种设计模式，即通过代理对象访问目标对象，可以在目标对象的基础上增加额外的功能java代理分为静态代理和动态代理静态代理：静态代理在使用时需要定义接口或者父类，被代理对象与代理对象实现相同的接口或者继承相同的父类聚合的方式实现静态代理聚合：一个类中调用另一个类的对象创建 阅读全文

摘要： 原始 JABzAD0ATgBlAHcALQBPAGIAagBlAGMAdAAgAEkATwAuAE0AZQBtAG8AcgB5AFMAdAByAGUAYQBtACgALABbAEMAbwBuAHYAZQByAHQAXQA6ADoARgByAG8AbQBCAGEAcwBlADYANABTAHQAcgB 阅读全文

摘要： java反序列化学习序列化：把一个对象的状态信息转换为字节序列，用于存储或者传输反序列化：把字节序列转换为java对象想要将一个对象序列化，必须实现Serializable或者Externalizable的接口类序列化：import java.io.*; class User implements 阅读全文

摘要： WEB--新手练习区 第一题：view_source 禁用js后鼠标右键查看源码，或者直接保存网页，通记事本打开，即可找到flag 禁用js后鼠标右键查看源码，或者直接保存网页，通记事本打开，即可找到flag 第二题：robots 第二题：robots 查看robots.txt文件，发现flag文件 阅读全文

摘要： Shiro是一个强大且易用的Java安全框架,主要用于身份验证、授权、密码和会话管理。使用docker下载一个镜像，搭建一个shiro1.2.4的漏洞环境运行下载好的镜像sudo docker pull -p 8080:8080 -d medicean/vulapps:s_shiro_1访问8080 阅读全文

摘要： Docker安装与使用 Docker是供开发人员和系统管理员 使用容器构建，运行和共享应用程序的平台。使用容器来部署应用程序称为容器化。官网：https://www.docker.com/系统要求：Ubuntu focal 20.04Ubuntu Bionic 18.04Ubuntu xenial 阅读全文

摘要： java反射机制的核心是在程序运行时动态的加载类并获取类的详细信息，从而操作类或对象的属性和方法。 java反射机制可以绕过java封装、直接调用私有属性的类或者方法 反射类的三种方法： 1、Class xxx = 类名.class，当表示类类型的时候Class需要大写 2、使用getClass() 阅读全文