02 2023 档案
摘要：前言 原文链接：https://mp.weixin.qq.com/s/bwBc4I9GeY6M_WlEDx83TA 复现记录时间： 下载当前最新版本DedeCMS V5.7.105进行漏洞复现以及漏洞分析 漏洞复现 可以自己在本地搭建漏洞环境，也可以拉取我自己制作的docker镜像 docker p
阅读全文
摘要：今天登录同学的小皮运维后台的时候发现CPU占有率达到100% 排查 登录服务器通过top看了下CPU占用情况，发现存在xmrig挖矿进程（当时直接kill -9结束了进程没有截到图） 看了下这些文件的时间信息，发现miner.sh的Modify为2023-02-10 17:32:48.0000000
阅读全文
摘要：前言 最近面试老是被问到shiro 550的洞，这个洞之前hvv中担任了很重要的角色，之前也只是使用工具做过攻击，也大概看过原理，却没有自己去分析过，所以赶紧学一下。 Shiro介绍 官方介绍：Shiro是Apache开源的一个功能强大且易于使用的Java安全框架，它执行身份验证、授权、加密和会话管
阅读全文
摘要：前言 休息了好像有一周了（慢慢的罪恶感），昨天在打比赛的时候做了一个php-cms的审计，然后激起了学习的热情。 之前打比赛的时候遇到过fastjson的题，当时也就是直接用poc利用了，也学习过fastjson的触发原理，这里简单的复习一下，文章如下： https://www.cnblogs.co
阅读全文
摘要：前言 该篇目的在于简单记录一下学习JNDI注入中的一些笔记，未提到的一些还没深入学习，之后搞明白了会继续补充！ JNDI简介 官方解释：JNDI（The Java Naming and Directory Interface，Java命名和目录接口）是一组在Java应用中访问命名和目录服务的API，
阅读全文
