黑伞安全-腾讯云开发者社区

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑伞安全

Umbrella枇杷哥

专栏成员

76

文章

176257

阅读量

106

订阅数

Shiro RememberMe 漏洞检测的探索之路

安全文件存储 tomcat java 网络安全

Shiro 是 Apache 旗下的一个用于权限管理的开源框架，提供开箱即用的身份验证、授权、密码套件和会话管理等功能。该框架在 2016 年报出了一个著名的漏洞——Shiro-550，即 RememberMe 反序列化漏洞。4年过去了，该漏洞不但没有沉没在漏洞的洪流中，反而凭借其天然过 WAF 的特性从去年开始逐渐升温，恐将在今年的 HW 演练中成为后起之秀。面对这样一个炙手可热的漏洞，这篇文章我们就来讲下，我是如何从 0 到 1 的将该漏洞的自动化检测做到极致的。

2021-07-16

3.3K0

全网首发！laravel 远程代码执行漏洞POC

laravel php 文件存储

laravel Remote code execute on debug mode复现

2021-01-29

3.8K0

fastjson黑盒测试与白盒审计

java 文件存储 tomcat json jdk

fastjson-1.2.24 (fastjson接受的JSON可以通过@type字段来指定该JSON应当还原成何种类型的对象，在反序列化的时候方便操作) fastjson-1.248以下 (从而导致checkAutoType在检测是否为黑名单的时候绕了过去，因为上一步将com.sun.rowset.JdbcRowSetImpl放入了mapping中，checkAutoType中使用TypeUtils.getClassFromMapping(typeName)去获取class不为空，从而绕过了黑名单检测) fastjson-1.2.60以下 (在此版本以下，字符串中包含\x转义字符时可以造成dos漏洞)

2020-09-18

2K0

解读OWASP TOP 10

xml api 安全文件存储网络安全

**原理：**将不受信任的数据作为命令或查询的一部分发送到解析器，会产生诸如sql注入、nosql注入、os注入和LADP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期的命令或的访问数据。

2019-10-16

2.9K0

没有更多了

社区活动

【纪录片】中国数据库前世今生

穿越半个世纪，探寻中国数据库50年的发展历程

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态