腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑白安全

黑白网成立于2014年，基于丰富的技术和经验，提供各类技术性动态。官网:heibai.org.cn

专栏作者

1299

文章

2149700

阅读量

250

订阅数

JAVA靶机和漏洞练习平台搭建

网络安全安全 jar java

https://GitHub.com/j3ers3/Hello-Java-Sec/releases/tag/1.7

2022-04-30

1.4K0

Apache Shiro身份验证绕过漏洞 (CVE-2020-17510) 预警

apache java 安全 http https

投稿作者：网络安全威胁信息共享平台一、基本情况近日，监测发现Apache Shiro团队发布了Shiro 1.7.0之前版本存在身份验证绕过漏洞公告，漏洞编号：CVE-2020-17510，攻击者通过构造特殊HTTP请求来绕过身份验证，从而获取应用程序的访问权限。目前厂商已发布修复版本，建议受影响用户更新到1.7.0或以上版本，做好资产自查以及预防工作，以免

2022-04-26

8420

宝塔服务器面板漏洞预警

运维 java ftp 数据库 sql

今日（8月23日）宝塔面板官方紧急更新了一处安全问题。宝塔Linux面板是提升运维效率的服务器管理软件，支持一键LAMP/LNMP/集群/监控/网站/FTP/数据库/JAVA等100多项服务器管理功能。有30个人的专业团队研发及维护，经过200多个版本的迭代，功能全，少出错且足够安全，已获得全球百万用户认可安装。运维要高效，装宝塔。宝塔Win

2022-04-26

1.4K0

永恒之蓝木马下载器发起 “黑球”行动，新增 SMBGhost 漏洞检测能力

java 安全 windows http 区块链

腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现最新变种，此次变种的病毒延续上个版本的邮件蠕虫攻击方法，利用附带Office漏洞CVE-2017-8570漏洞的doc文档以及JS诱饵文件发送与新冠肺炎主题相关的钓鱼邮件。同时新增SMBGhost（CVE-2020-0796）漏洞检测和上报、新增SSH爆破攻击相关代码，推测其可能在后续攻击活动中利用SMBGhost漏洞、也可能发起针对Linux系统的攻击。

2022-04-26

1.6K0

HackerOne | GitLab中Wiki页面存储型XSS

编程算法 java markdown git 安全

Ryhmnlfj发现GitLab的Wiki特定的分层链接Markdown存在存储型XSS漏洞。

2022-04-26

6000

TP6.0反序列化利用链挖掘思路总结

文件存储 java thinkphp php 缓存

最近CTF中TP反序列化考的比较频繁，从前段时间的N1CTF到最近的安洵杯都利用了thinkphp反序列化，疯狂填坑，审计挖掘了下TP5、TP6反序列化中的利用链，本篇主要总结下TP6利用链的挖掘思路。小白文章，大佬们请略过。。。

2022-04-26

1.6K0

fastjson≤1.2.47反序列化漏洞复现

java shell jdk 打包网络安全

0x01 背景努力学习ing~ 为以后遇到java环境增加测试项做准备，防止一脸懵逼情况发生?，一般到时再看为时已晚，so先下手为强?。 0x02 网络环境攻击机： os:windows10 服

2022-04-26

7510

thinkphp v6.0.x 反序列化利用链挖掘

文件存储 composer java 编程算法 php

0x00 前言上一篇分析了tp 5.2.x的反序列化利用链挖掘，顺着思路，把tp6.0.x也挖了。有类似的地方，也有需要重新挖掘的地方。 0x01 环境准备采用composer安装6.0.*-dev版本composer create-project topthink/think=6.0.x-dev v6.0 0x02 利用链分析背景回顾拿到v6.0.x版本，

2022-04-26

4120

CVE-2016-8735环境搭建到POC编写

java xml tomcat groovy apache

前言很早之前写的一篇文章，现在分享出来网上关于cve-2016-8735的漏洞环境搭建和POC的编写大都千篇一律，几乎都是源自于Apache Tomcat Remote Code Execution(CVE-2016-8735)。但是这篇在环境搭建方面详细说明，仅仅只是说明要修改server.xml和添加两个包，POC方面也只是调用ysoserial.jar

2022-04-26

9270

致远A8协同管理系统0day漏洞深度剖析和漏洞利用

安全 shell java https 网络安全

首先这个漏洞在2019-6-26被人爆出，下面是网上爆出来的expPOST /seeyon/htmlofficeservlet HTTP/1.1Content-Length: 1111User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)Host: ip:portPragma:

2022-04-26

5.6K0

网络方面的随机一言？对你没有看错

http xml json javascript java

网上各种随机一言泛滥成灾，各种心灵鸡汤，古诗词等等。在大环境下，平台基于(安全脉搏四爷、华盟网狗哥等人的帮助)成功整理出网络相关的随机一言Api 整合了网络安全法/黑客守则等内容内容如下图 📷 📷 📷 📷 📷 📷 调用实测 📷 调用方式请求地址：https://heibai.org.cn/ps.php 请求方式：GET 请求参数：None 返回内容：随机一条 GET参数-charset:编码 Value：NULL/除gbk/GBK/gb2312外编码：UTF-8 Value：gbk/GBK/gb2

2022-04-24

3900

Java代审：Maven基础知识

maven xml jdk java

前言Maven 是一个项目构建和管理工具，利用它可以对 JAVA 项目进行构建和依赖管理。Maven 采用项目对象模型 POM（Project Object Model）来管理项目。Maven 的主要工作就是用来解析一些 XML 文档、管理生命周期与插件。Maven 被设计成将主要的职责委派给一组 Maven 插件，这些插件可以影响 Maven 生命周期，提

2022-04-19

2100

技术分享 | Fastjson-RCE漏洞复现

网站 shell 文件存储 java 容器镜像服务

Fastjson提供autotype功能，允许用户在反序列化数据中通过 @type 指定反序列化的类型，其次Fastjson自定义的反序列化会调用指定类中的setter方法和部分getter方法。当组件开启autotype并且反序列化不可信的数据时，攻击者构造的数据（恶意代码）会进入特定类的setter或getter方法中，可能会被恶意利用。影响版本 Fastjson1.2.47以及之前的版本

2021-09-07

1.2K0

哆啦靶场XSS挑战赛1-10关攻略

网络安全 html java

哆啦集成了网络上常见的靶场与GitHub上比较好的靶场系统，配合一键启动模式，省去你去收集再进行搭建的时间，方便你更加快速的学习信息安全。

2020-05-07

1.6K2

Hades开源白盒审计系统V1.0.0

java 单片机编程算法

一、引言为什么要开发这么一个白盒审计系统呢?其实，自己开发白盒审计系统的想法已经在我的脑海中存在很久了。一方面，之前大学毕业之后在白盒方面花了挺多时间的，不过由于各方面原因，一直没有特别突出的进展，

2020-03-06

8930

Aapache Tomcat AJP 文件包含漏洞（CVE-2020-1938）

tomcat https 网络安全安全 java

Java 是目前 Web 开发中最主流的编程语言，而 Tomcat 是当前最流行的 Java 中间件服务器之一，从初版发布到现在已经有二十多年历史，在世界范围内广泛使用。

2020-02-27

1K0

Weblogic使用ClassLoader和RMI来回显命令执行结果

最近在研究weblogic，执行命令没有回显，Google了一下，发现可以通过RMI来解决weblogic反序列化RCE没有命令执行结果回显，先看下基础知识。

2020-02-27

1.2K0

一次综合渗透测试

shell java http 网站

一个月前的事了觉得挺有意思的记录一下。4月初回学校后不久想着不能荒废啊于是想去图书馆借本书学习一下。然而，可恶的是我想看的书图书馆竟然没搜到。可把我气坏了，好不容易想学习下来着。然后就顺手就测试了一下...

2020-01-20

8220

如何挖掘1500刀的反序列化漏洞

文件存储腾讯云测试服务 java

我找到了一个私人项目****(不能透露他的名字，我们暂且称之为Redacted.com)。测试这个项目的人非常之少。

2020-01-20

1.2K0

Freddy：一款基于活动被动扫描方式的Java&.NET应用程序漏洞扫描工具

文件存储 java json .net http

Freddy是一款开源工具，该工具的功能基于主动/被动式扫描，在Freddy的帮助下，研究人员可以快速查找Java和.NET应用程序中的反序列化安全问题。

2020-01-20

1.5K0

点击加载更多

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态