08 2023 档案

java代审之XXE

摘要：一、什么是XXE漏洞 xxe攻击也叫xml外部实体注入攻击，是一种常见的Web应用安全漏洞，通过漏洞可导致任意文件读取、目录遍历、探测内网端口、攻击内网网站、发起DoS拒绝服务攻击、执行系统命令等安全问题。当应用程序使用XML处理器解析外部XML实体时，可能会发生XXE漏洞，使用场景比如后台解析x 阅读全文

posted @ 2023-08-31 19:53 chm0d的安全避风港阅读(235) 评论(0) 推荐(0) 编辑

Office XXE攻击

摘要：一、什么是Office XXE攻击 Office XXE攻击是xxe攻击的一种，由于.xlsx与.docx是基于xml文件存储内容的，后端在解析这些xml时自然也会存在xxe攻击的可能。这里是.xlsx而不是.xls，是因为Excel有多种文件类型，xls是Excle 2003版本之前使用的文件格阅读全文

posted @ 2023-08-30 23:30 chm0d的安全避风港阅读(334) 评论(0) 推荐(0) 编辑

Java代码审计之目录穿越(任意文件下载/读取)

摘要：一、目录穿越漏洞 1、什么是目录穿越所谓的目录穿越指利用操作系统中的文件系统对目录的表示。在文件系统路径中，".."表示上一级目录，当你使用"../"时，你正在引用当前目录的上一级目录。如果你使用"../../"，你实际上在两次".."的基础上，再次引用上一级目录，从而返回到上两级目录。例子：假阅读全文

posted @ 2023-08-29 11:03 chm0d的安全避风港阅读(3952) 评论(0) 推荐(0) 编辑