腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

Urahara Blog

专栏作者

34

文章

41596

阅读量

25

订阅数

Apache Struts2 Remote Code Execution (S2-052)

网络安全安全文件存储 xml json

根据官方漏洞描述，Struts2 REST插件在使用XStreamHandler反序列化XStream实例的时候没有对类进行任何限制，导致将xml数据转换成Object时产生远程代码执行漏洞（RCE）。同时，官方的解决方案是将Struts2的版本升级至2.5.13 或 2.3.34，那么先对比一下官方的版本升级代码，发现struts-2.5-2.13\src\plugins\rest\src\main\java\org\apache\struts2\rest\handler\XStreamHandler.java对类进行了一些白名单处理。

2019-12-11

9430

Hacking via XXE

网络安全安全 json xml

XML 指可扩展标记语言（EXtensible Markup Language），有点类似 HTML，但它与HTML的区别在于其设计宗旨是传输数据，而非显示数据。XML常被用来作为配置文件（spring、Struts2等）、文档结构说明文件（PDF、RSS等）、图片格式文件（SVG header）及数据传输共享。

2019-12-11

5650

Couchdb命令执行

开源数据库 java json

背景介绍 CouchDB是一个开源的面向文档的数据库管理系统，可以通过 RESTful JavaScript Object Notation (JSON) API 访问。CouchDB 可以安装在大部分 POSIX 系统上，包括 Linux和 Mac OS X。漏洞介绍 Couchdb默认会在5984端口开放Restful的API接口，如果使用SSL的话就会监听在6984端口，用于数据库的管理功能。其HTTP Server默认开启时没有进行验证，而且绑定在0.0.0.0，所有用户均可通过API访问导致未授

2018-06-07

2.4K0

没有更多了

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态