首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

FloydHub 2020年最佳机器学习书籍之一《可解释机器学习》中文版来啦!

说到机器学习,想必大家都不陌生。 机器学习是计算机基于数据做出和改进预测或行为的一套方法。 那什么是可解释机器学习呢? 比如,我们通过机器学习的算法得到了某个结果,那这个结果是否是可信的呢?我们希望理解这个结果背后的原因。这就是可解释机器学习要研究的问题。 如下图所示,根据一般网络给出的决策时,缺乏可解释性的结果让使用者感到困惑,严重限制了其在现实任务中的广泛应用。 虽然机器学习与人工智能的研究不断取得了突破性进展,然而高性能的复杂算法、模型及系统普遍缺乏决策逻辑的透明度和结果的可解释性,导致在涉及需

02

Hessian 反序列化及相关利用链

前不久有一个关于Apache Dubbo Http反序列化的漏洞,本来是一个正常功能(通过正常调用抓包即可验证确实是正常功能而不是非预期的Post),通过Post传输序列化数据进行远程调用,但是如果Post传递恶意的序列化数据就能进行恶意利用。Apache Dubbo还支持很多协议,例如Dubbo(Dubbo Hessian2)、Hessian(包括Hessian与Hessian2,这里的Hessian2与Dubbo Hessian2不是同一个)、Rmi、Http等。Apache Dubbo是远程调用框架,既然Http方式的远程调用传输了序列化的数据,那么其他协议也可能存在类似问题,例如Rmi、Hessian等。@pyn3rd师傅之前在twiter[1]发了关于Apache Dubbo Hessian协议的反序列化利用,Apache Dubbo Hessian反序列化问题之前也被提到过,这篇文章[2]里面讲到了Apache Dubbo Hessian存在反序列化被利用的问题,类似的还有Apache Dubbo Rmi反序列化问题。之前也没比较完整的去分析过一个反序列化组件处理流程,刚好趁这个机会看看Hessian序列化、反序列化过程,以及marshalsec[3]工具中对于Hessian的几条利用链。

03
领券