简单自我介绍一下,我是一个安全工程师,也是一个人的“安全部”。一个周五的晚上,我正在和小伙伴们在游戏中厮杀,还沉浸在躺赢快乐中的我突然接到紧急短信。
这篇文章将继续给大家介绍Jenkins+Ansible+GitLab持续交付平台搭建。
上一篇对jenkins有了大致了解之后,那么我们就开始来安装一下jenkins。
Vulmap Vulmap是一款功能强大的Web漏洞扫描和验证工具,该工具可以对Web容器、Web服务器、Web中间件以及CMS等Web程序进行漏洞扫描,并且具备漏洞利用功能。广大安全研究人员可以使用Vulmap检测目标是否存在特定漏洞,并且可以使用漏洞利用功能验证漏洞是否真实存在。 Vulmap目前有漏洞扫描(poc)和漏洞利用(exp)模式, 使用”-m”选现指定使用哪个模式, 缺省则默认poc模式, 在poc模式中还支持”-f”批量目标扫描、”-o”文件输出结果等主要功能, 更多功能参见options
大家好,我是架构君,一个会写代码吟诗的架构师。今天说一说解决反序列化的信息泄露问题java_java反序列化漏洞修复方案,希望能够帮助大家进步!!!
##jenkins内部Git插件可以将GitLab,GitHup克隆到jenkins本地,准备好代码构建的工作
腾讯安全威胁情报中心推出2024年1月份必修安全漏洞清单,所谓必修漏洞,就是运维人员必须修复、不可拖延、影响范围较广的漏洞,被黑客利用并发生入侵事件后,会造成十分严重的后果。
Spring Boot目前流行的java web应用开发框架,相比传统的spring开发,spring boot极大简化了配置,并且遵守约定优于配置的原则即使0配置也能正常运行,这在spring中是难以想象的。spring boot应用程序可以独立运行,框架内嵌web容器,使得web应用程序可以像本地程序一样启动和调试,十分的方便,这种设计方式也使得spring boot应用程序非常适合容器化进行大规模部署。生态方面,spring boot提供了非常丰富的组件,目前流行的java web框架基本都有spring boot版本,生态十分庞大,是目前java web开发最好的方案。
原文来自雷神众测,然后是整理自github的一个项目redteam_vul,这份系统漏洞清单还是很详实的,具有一定的参考意义,当然,要是有poc就更美了
近来看到不少未授权访问漏洞,心想把这一块的几个漏洞归纳起来看看。未授权访问漏洞造成的危害可大可小,无论是数据库服务、或者像 Weblogic 这种大型中间件都曾出过未授权访问漏洞。本文鉴于前人对每个漏洞的分析十分详细,在此仅简单归纳几个未授权访问漏洞,未进行具体的代码分析,有兴趣的可以根据链接查看分析原文。
Perun是一款主要适用于乙方安服、渗透测试人员和甲方RedTeam红队人员的网络资产漏洞扫描器/扫描框架,它主要适用于内网环境,加载漏洞检测Vuln模块后能够快速发现安全问题,并根据需要生成报表,以方便安全人员对授权项目完成测试工作。
这篇文章主要收集一些常见的未授权访问漏洞。未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。
Lib之过?Java反序列化漏洞通用利用分析 转自:https://blog.chaitin.cn/2015-11-11_java_unserialize_rce/
不同企业,不同系统,不同应用在开发中所使用的技术栈都不尽相同,因此构建所用的编译工具以及应用部署所使用的应用服务器也有所不同。如何扩展支持各种工具与应用服务器部署也成为了DevOps支撑企业持续集成与持续部署落地的关键组成部分。
当前各行业基础设施和服务向云逐渐迁移,随之而来针对云上资产的攻击也不断出现,掌握云上风险态势成为企业安全的重要环节。腾讯安全基于云原生安全体系,通过实时监测各类针对云上资产的攻击行为,持续感知在野攻击情况。经过安全专家的分析和挖掘,漏洞是攻击链上的重要一环,既能看到“老而弥新”漏洞的自动化批量攻击,也可发现新曝光漏洞开始迅速武器化,此外还涉及一些尚未公开的潜在风险被攻击者利用。
2018年4月18日,Oracle官方发布了4月份的安全补丁更新CPU(Critical Patch Update),更新中修复了一个高危的 WebLogic 反序列化漏洞CVE-2018-2628。攻击者可以在未授权的情况下通过T3协议对存在漏洞的 WebLogic 组件进行远程攻击,并可获取目标系统所有权限。
先通知大家一个消息,我又开始修改简历了,不过我觉得这次会有些不一样。有兴趣的朋友可以加我的微信 rocksun21 ,一起探讨各种合作方式。
之前看了SHIRO-721这个漏洞,然后这个漏洞和SHIRO-550有些关联,在SHIRO-550的利用方式中又看到了利用ysoserial中的JRMP exploit,然后又想起了RMI、JNDI、LDAP、JMX、JMS这些词。这些东西也看到了几次,也看过对应的文章,但把他们联想在一起时这些概念又好像交叉了一样容易混淆。网上的一些资料也比较零散与混乱,所以即使以前看过,没有放在一起看的话很容易混淆。下面是对RMI、JNDI、LDAP、JRMP、JMX、JMS一些资料的整理。
收到PHP童鞋的反馈: 我觉得不用讲太基础的语法,基础语法大家自己去看,主要讲讲java web开发的一个流程,从开始写代码,到编译,发布,上线,回滚整个流程 大体上的环节,以及需要用到哪些工具 具体咋用… 还有java的东西太多了,什么j2ee j2me,什么tomcat, resin啥的,都是什么关系,我是搞不懂 看来上一篇写的讲的时候是用不上了。但是《极限编程》里提到的四个价值:沟通,简单,反馈和勇气。如果我不先写出一个样子来,客户自己可能也没有什么清晰的概念。我们必须敢于丢弃代码。编码和写作,在修改
中间件(middleware)是基础软件的一大类, 属于可复用软件的范畴. 顾名思义,中间件处于操作系统软件与用户的应用软件的中间.
1.adminServer配置 base_domain/servers/AdminServer下新建文件夹security 同时里面创建一个新的文件boot.properties
非法挖矿一般分为基于文件的挖矿和基于浏览器的挖矿。由于云主机用户一般不使用浏览器访问网页,故基于浏览器的挖矿在公有云上并非较大的威胁。
接受更新选择确认,直接输入“Next”,回车(此时Receive Security Update:[No]表示不接受安全更新)
安装前提:首先在官网上下载安装包https://www.oracle.com/index.html下载10.3.6版本的在centos7.6上安装,关闭防火墙、selinux,安装jdk(Java SE Development Kit)
生产上经常会进行weblogic补丁升级操作,本文以升级补丁EJUW为例,weblogic版本为10.3.6.0.
WebLogic是美国Oracle公司出品的一个Application Server,确切的说是一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
(1)获取镜像: docker pull ismaleiva90/weblogic12
目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁,目前看到的修复方法无非两条:
2021年1月20日,绿盟科技监测发现Oracle官方发布了2021年1月关键补丁更新公告CPU(Critical Patch Update),共修复了329个不同程度的漏洞,其中包括7个影响WebLogic的严重漏洞(CVE-2021-1994、CVE-2021-2047、CVE-2021-2064、CVE-2021-2108、CVE-2021-2075、CVE-2019-17195、CVE-2020-14756),未经身份验证的攻击者可通过此次的漏洞实现远程代码执行。CVSS评分均为9.8,利用复杂度低。建议用户尽快采取措施,对上述漏洞进行防护。
JConsole可以对远程主机上的Java进程的内存使用情况进行监控。本文将讲解如何使用JConsole监控远程主机上的WebLogic和Tomcat。
BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应 用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
某日接到用户电话,用户某应用系统微信公众号平台服务器应用运行异常掉线卡顿,运维人员检查后发现服务器存在占用大量CPU资源的恶意进程,且无法清除该进程,导致WEB应用服务无法正常运行。
WebLogic是美国Oracle公司出品的一个application server,确切的说是一个基于JavaEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
一直在纠结有没有必要写这一章的内容,毕竟网上有挺多现成的,但是为了系列文章的完整性,还是写一写。本文将结合着远程调试weblogic来讲解如何使用IDEA调试远程应用,如果你还不清楚,建议收藏,方便查阅。
准备好需要的 jdk、tomcat 等软件放到 home 目录下面,启动一个容器 docker run -t -i -v /home:/opt/data --name mk_tomcat Ubuntu /bin/bash
1.adminserver(10.0.5.51) 。 node节点(ip:10.0.5.52)
Weblogic Server中的RMI 通信使用T3协议在Weblogic Server和其它Java程序(客户端或者其它Weblogic Server实例)之间传输数据, 服务器实例会跟踪连接到应用程序的每个Java虚拟机(JVM)中, 并创建T3协议通信连接, 将流量传输到Java虚拟机. T3协议在开放WebLogic控制台端口的应用上默认开启. 攻击者可以通过T3协议发送恶意的的反序列化数据, 进行反序列化, 实现对存在漏洞的weblogic组件的远程代码执行攻击。
配置管理(CM)的目的是通过使开发或部署过程可控和可重复,从而创建更高质量的产品或系统,来确保产品或系统在其整个生命周期中的完整性。CM流程允许对系统信息和系统更改进行有序管理,以实现以下目的:
通用组件:对系统常用组件的封装,如:常用异常状态码、URL权限、Service/Dao/VO封装、Mybatis/Spring封装、分页、对象存储包、Redis缓存、日志、常用工具类、RabbitMQ、分布式Sequence等。
北京时间4月18日凌晨,Oracle官方发布了4月份的关键补丁更新CPU(Critical Patch Update),其中包含一个高危的远程代码执行漏洞(CVE-2018-2628),通过该漏洞,攻击者可以在未授权的情况下远程执行任意代码。
执行rpm –Uvh jdk-7u55-linux-x64.rpm安装64位的JDK1.7(在Linux64位上面安装32位的jdk,可能会遇到缺少.os文件的问题)
weblogic安装后,很久不用,忘记访问控制台的用户名或者密码,可通过以下步骤来重置用户名密码。说明:%DOMAIN_HOME%:指WebLogic Server 域(Domain)目录 例如我的做测试的域的根目DOMAIN_HOME=D:\oracle\Middleware\user_projects\domains\base_domain
近日在一个原本工作正常的weblogic web server(操作系统为redhat 64位系统)上折腾安装redis/hadoop等东东,yum install了一堆第3方类库后,重启weblogic时,发现nodemanager无法启动了,报错如下: 严重: Fatal error in node manager server weblogic.nodemanager.common.ConfigException: Native version is enabled but nodemanager n
WebLogic是美国Oracle公司出品的一个application server,是一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
领取专属 10元无门槛券
手把手带您无忧上云