09 2020 档案
摘要：Java 审计之XXE篇 0x00 前言 在以前XXE漏洞了解得并不多，只是有一个初步的认识和靶机里面遇到过。下面来 深入了解一下该漏洞的产生和利用。 0x01 XXE漏洞 当程序在解析XML输入时，允许引用外部实体，导致能够引用一个外部恶意文件，可导致执行系统命令，内网端口检测，文件读取，攻击内网
阅读全文
摘要：Java学习之IDEA调试快捷键 1、F7 单步调试，进入函数内部 2、F8 单步调试，不进入函数内部 3、Shift+F7 选择要进入的函数 4、Shift+F8 跳出函数 5、Alt+F9 运行到断点 6、Alt+F8 执行表达式查看结果 7、F9 继续执行，进入下一个断点或执行完程序 8、Ct
阅读全文
摘要：Java安全之 ClassLoader类加载器 0x00 前言 前面这里抛出一个问题，Java到底是什么类型的编程语言？是编译型？还是解释型？在这个问题是其实一直都都有疑惑，如果说是解释型语言的话，那么为什么需要编译呢？如果说是编译型语言的话，那么在编译完成后，需要JVM去解析才能运行呢？其实两种说
阅读全文
摘要：Java 审计之xss审计要点 0x00 前言 上篇文章讲了xss的一个简单审计，这篇文章可以来复盘一下上篇文章内容在上篇文章基础上做一个详细说明，以及其他的一些审计姿势。 首发：Java审计之XSS篇 0x01 审计流程 根据上篇文章来总结一下，我们首先是全局搜索了request.setAttri
阅读全文
摘要：Java审计之命令执行篇 0x00 前言 在Java中能执行命令的类其实并不多，不像php那样各种的命令执行函数。在Java中目前所知的能执行命令的类也就两种，分别是Runtime和 ProcessBuilder类。 0x01 Runtime 执行命令分析 关于Runtime具体的使用可以看这篇文章
阅读全文
摘要：Java审计之文件操作漏洞篇 0x00 前言 本篇内容打算把Java审计中会遇到的一些文件操作的漏洞，都给叙述一遍。比如一些任意文件上传，文件下载，文件读取，文件删除，这些操作文件的漏洞。 0x01 文件上传漏洞 RandomAccessFile类上传文件案例： package com.test;
阅读全文
摘要：Java 审计 之过滤器防御xss 0x00 前言 本文从攻击与防守两个角度来思考一些审计中的小细节。在前面两篇的xss审计中，写少了一个比较重要的点，就是Filter过滤器。都说Java的审计第一步就是先看web.xml，能看到该cms使用的是哪些框架来进行开发。其次就是看其有没有配置的一些过滤器
阅读全文
摘要：Java 审计之SSRF篇（续） 0x00 前言 先来说说为啥会有该篇章，在刚刚码完上篇文章后，后来又去找了找在Java中的一些远程请求的类。果然翻到了一些有意思的东西，在这里就拿出来给大家分享一下。 0x01 imageIO中的SSRF imageIO类是jdk中自带的一个类，主要用于操作一些图片
阅读全文
摘要：Java 审计之SSRF篇 0x00 前言 本篇文章来记录一下Java SSRF的审计学习相关内容。 0x01 SSRF漏洞详解 原理： 服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。 大部分的web服务器架构中，web服务器自身都可以访问互联网和服务器所在的内网。 ssr
阅读全文
摘要：Java审计之XSS篇 0x00 前言 继续 学习一波Java审计的XSS漏洞的产生过程和代码。 0x01 Java 中XSS漏洞代码分析 xss原理 xss产生过程： 后台未对用户输入进行检查或过滤，直接把用户输入返回至前端。导致javascript代码在客户端任意执行。 XSS代码分析 在php
阅读全文
摘要：Java审计之SQL注入篇 0x00 前言 本篇文章作为Java Web 审计的一个入门文，也是我的第一篇审计文，后面打算更新一个小系列，来记录一下我的审计学习的成长。 0x01 JDBC 注入分析 在Java里面常见的数据库连接方式也就那么几个，分别是JDBC，Mybatis，和Hibernate
阅读全文
摘要：Java学习之Spring Boot入门 0x00 前言 学习完ssm的整合后，开始来学习Spring Boot，在前面学习Spring的时候会发现使用Spring开发中配置Spring的环境会非常的繁琐，而Spring boot的出现就解决了这个问题。 0x01 Spring Boot 概述 Sp
阅读全文
摘要：Java学习之SSM框架整合 0x00 前言 前面的学习的Spring、Spring MVC 和Mybatis框架基本已经学习完了，但是要使用起来，我们需要把这三大框架给整合起来一起使用。 0x01 Spring 整合Spring MVC 首先要先把Spring 和Spring MVC 给整合起来，
阅读全文
摘要：Java学习之SpringMVC 拦截器 0x00 前言 继续 Spring MVC最后一点小内容，后面就该学习如何整合SSM框架了。 0x01 拦截器 拦截器和前面提到的一个过滤器类似，但是他们还是有些区别的。 拦截器和过滤器区别： 1.过滤器在任何框架都可以使用，而拦截器是Spring MVC独
阅读全文
摘要：Java学习之spring MVC常用注解 0x00 前言 续上篇文章的内容继续来记录spring mvc会常用到的一些注解。 0x01 常用注解 RequestParam注解 @Controller public class HelloContraoller { @RequestMapping(p
阅读全文
摘要：Java学习之Spring MVC入门 0x00 前言 前面写了SSM 的两大框架，分别是Mybatis和Spring，这里来写一下Spring MVC框架的相关内容。 0x01 Spring MVC概述 是一种基于Java实现的MVC设计模型的请求驱动类型的轻量级WEB框架。 Spring MVC
阅读全文
