接受更新选择确认，直接输入“Next”，回车（此时Receive Security Update:[No]表示不接受安全更新）
Shiro反序列化漏洞虽然出现很多年了，但是在平时的攻防比赛与红队评估项目中还是能遇到。主站也许遇不到Shiro漏洞，但是主站边缘域名、全资子公司的子域名、边缘资产、微信公众号、微信小程序啥的，总能找到。现在遇到的shiro反序列化漏洞也是越来越难了，好多都是别人搞不定的。搞不定的原因要么是key比较偏门，要么是过不了waf防护，要么就是找不到可用的利用链，导致没办法拿权限。
生产上经常会进行weblogic补丁升级操作，本文以升级补丁EJUW为例，weblogic版本为10.3.6.0.
weblogic 执行任务OutOfMemoryError错误 内存溢出 修改配置如下
问题综诉：在做压力测试时，不间断发送1万请求，在5700时，weblogic陷入假死，不能够处理任何请求，使用jconsole，查看到weblogic阻塞情况非常严重。请问，谁了解Weblogic这块的解决方案。
近日，国家信息安全漏洞共享平台（CNVD）公开了Weblogic反序列化远程代码执行漏洞（CNVD-C-2019-48814），延续了前几年不断爆出的Weblogic反序列化漏洞历史。趁此机会我们来总结分析一下，这些漏洞都是些啥？ ▶▶WebLogic是干嘛的？ WebLogic是美国甲骨文（Oracle）公司的一款知名应用服务中间件，它被用来开发、集成、部署和管理多种大型分布式系统，极大的方便了系统管理，以及简化部署步骤，在世界范围内被广泛运用。在中国常见于电信、政府行业和金融行业。 CNVD秘书处对W
在下搭这个环境只是为了调试，没想搞这么麻烦，所以有成品最好，在dockerhub中找到两个下载量比较多的，第一个是官方的：
先git clone https://github.com/cnsimo/CVE-2020-2551.git克隆本项目到本地。
作者简介 刘韬，云和恩墨中间件服务交付团队专家 Java开发出身，10年WebLogic相关开发、运维工作经验，熟悉SOA、现代业务系统架构中各层组件，尤其擅长故障处理、性能优化等工作。 故障案例一 系统环境： RHEL 6.8 64-bit（glibc 2.12）、Sun JDK 6u45 64-bit、WLS 10.3.6 故障现象： 这里引用一下客户当时发邮件时提出的问题描述吧。 下面pid 6287 weblogic进程占用7.6G的物理内存，之前只占用5G内存。我发现只有系统有空余的内存，就会被j
1.adminserver(10.0.5.51) 。 node节点(ip:10.0.5.52)
Web服务器也称为WWW （WORLD WIDE WEB)服务器、HTTP服务器，其主要功能是提供网上信息浏览服务。
十、WebLogic 及其它：（共13 题） 1、如何给weblogic 指定大小的内存? 答：在启动Weblogic 的脚本中（位于所在Domian 对应服务器目录下的startServerNam
cpu相关信息存放在/proc/cpuinfo目录中，所以要查看cpu信息就可以用以下命令：
答：在启动Weblogic 的脚本中（位于所在Domian 对应服务器目录下的startServerName），增加set MEM_ARGS=-Xms32m -Xmx200m，可以调整最小内存为32M，最大200M。
一直在纠结有没有必要写这一章的内容，毕竟网上有挺多现成的，但是为了系列文章的完整性，还是写一写。本文将结合着远程调试weblogic来讲解如何使用IDEA调试远程应用，如果你还不清楚，建议收藏，方便查阅。
本次搭建使用的虚拟机，由于内存有限，我搭建的是第一种规划方案同一台服务器，如下：
1、请对以下在J2EE中常用的名词进行解释 web容器：给处于其中的应用程序组件（JSP，SERVLET）提供一个环境，使JSP,SERVLET直接更容器中的环境变量接口交互，不必关注其它系统问题。主
JConsole可以对远程主机上的Java进程的内存使用情况进行监控。本文将讲解如何使用JConsole监控远程主机上的WebLogic和Tomcat。
中间件(middleware)是基础软件的一大类, 属于可复用软件的范畴. 顾名思义,中间件处于操作系统软件与用户的应用软件的中间.
周松，长期从事在ITOM、ITOA领域，拥有丰富的IT系统管理和监控实施经验，精通Zabbix开源监控系统的架构、部署、使用和维护；精通IBM Tivoli、BMC Patrol等商业软件产品
迫于目前现有的weblogic工具没怎么更新、payloay jdk适用版本等问题，所以基于superman18、sp4zcmd等项目，写一个weblogic工具，工具运行版本要求jdk 8，支持漏洞检测、命令执行、内存马注入、密码解密等（深信服深蓝实验室天威战队强力驱动）。
常用linux脚本： Linux系统bash脚本获取系统硬件资源 Aix系统ksh脚本获取系统硬件资源 服务器打开session时显示帮助信息 curl post中带有变量的脚本 金三系统基线包安装部署脚本 Linux系统bash脚本获取系统硬件资源 #!/bin/sh echo "系统资源使用情况：以下各个数字均为百分比%" echo "CPU平均使用率：" top -n 3 b|grep 'Cpu(s)'|awk '{print $2}'|cut -d '%' -f 1|awk '{sum+= $1}
Web服务器是运行及发布Web应用的容器，只有将开发的Web项目放置到该容器中，才能使网络中的所有用户通过浏览器进行访问。开发Java Web应用所采用的服务器主要是与JSP/Servlet兼容的Web服务器。
J2ee开发主要是浏览器和服务器进行交互的一种结构.逻辑都是在后台进行处理,然后再把结果传输回给浏览器。可以看出服务器在这种架构是非常重要的。 这几天接触到两种Java的web服务器，做项目用的Tomcat，看视频看的是WebLogic Server（WLS），都是web服务器，有什么区别和联系呢？ （一）先简单介绍一下这两种服务器。 WebLogic是美国bea公司出品的一个application server，确切的说是一个基于Javaee架构的中间件，纯java开发的，最新版本WebLogic Server 9.0是迄今为止发布的最卓越的BEA应用服务器。BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。完全遵循J2EE 1.4规范。 Tomcat服务器是一个免费的开源的Web 应用服务器，是Apache 软件基金会的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，运行时占用的系统资源小，扩展性好，支持负载平衡与邮件服务等开发应用系统常用的功能；而且很重要的是她免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。而且由于开源，它还在不断的改进和完善中，任何一个感兴趣的程序员都可以更改它或在其中加入新的功能。 （二）相同点： WebLogic和Tomcat都是基于java的基础架构来满足实时处理需求，不同的版本与jdk版本兼容和有所不同;因为都是要和前台交互，所以他们都基于sun公司的servlet来实现的。 （三）不同点： 功能性： WebLogic更加强大。weblogic是j2ee的应用服务器（application server），包括ejb ,jsp,servlet,jms等等，全能型的。是商业软件里排名第一的容器（JSP、servlet、EJB等），并提供其他如JAVA编辑等工具，是一个综合的开发及运行环境。 WebLogic应该是J2EE Container(Web Container + EJB Container + XXX规范)！ Tomcat只能算Web Container，是官方指定的JSP&Servlet容器。只实现了JSP/Servlet的相关规范，不支持EJB（硬伤啊）!不过Tomcat配合jboss和apache可以实现j2ee应用服务器功能 一般来说考虑stucts等架构tomcat就可以了，但如果考虑EJB的话，WebLogic是比较好的选择。 扩展性： 用WebLogic运行标准的java可能并不是最好的方式，WebLogic里支持他自己的一些东西，这些东西虽然是在纯java基础上开发的，但其他工具里都没有。WebLogic Server凭借其出色的群集技术，拥有处理关键Web应用系统问题所需的性能、可扩展性和高可用性。 WebLogic Server既实现了网页群集，也实现了EJB组件 群集，而且不需要任何专门的硬件或操作系统支持。网页群集可以实现透明的复制、负载平衡以及表示内容容错 。 无论是网页群集，还是组件群集，对于电子商务解决方案所要求的可扩展性和可用性都是至关重要的。共享的客户机/服务器和数据库连接以及数据缓存和EJB都增强了性能表现。这是其它Web应用系统所不具备的 所以，在扩展性方面WebLogic是远远超越了Tomcat。 费用上： Tomcat开源免费。 WebLogic不开源不免费。 总之，在功能强大和扩展性和可用性等方面WLS比Tomcat好很多，但这也不能说明WLS适合每一方面，从Tomcat的使用流行度便可以看出，Tomcat虽功能有限，但也很受欢迎。其实关键看你要做什么。Tomcat 是免费开源的jsp,servlet引擎，入门级别的Web服务器，刚入门的IT人使用Tomcat简单易上手。而且它一个轻量级应用服务器，最重要的是它免费，所以在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。Tomcat比较轻巧，消耗资源较少。当然，项目大的时候，WLS肯定再合适不过，而且Tomcat也无法满足太多需求，但是，WLS的费用也是不可小觑的。 总之，关键看你做什么，权衡利弊做选择。 此外，还有其他J2EE Application Server，例如： IBM的websphere、Sun的Glassfish、resin等。Apache全球应用最广泛的http服务器，免费。同样开源免费的JBoss
大家好，又见面了，我是你们的朋友全栈君。 EJB 学习笔记 1、ejb 基础知识 （1） 无状态会话bean 不保存客户机的会话状态 优点：使用小量的实例即可满足大量的客户。每个实例都没
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
特征rememberMe 恶意 Cookie rememberMe值构造 前16字节的密钥 -> 后面加入序列化参数 -> AES加密 -> base64编码 -> 发送cookie Apache Shiro处理cookie的流程 得到rememberMe的cookie值 -> Base64解码 -> AES-128-CBC解密-> 反序列化(readobject)
mac系统发展速度确实很快，短短数年，mac os上已经能网银支付（中行、招行、工商、支付宝等均已全面支持mac os了），windows上的经典常用软件：qq、飞信、旺旺、有道词典、有道云笔记、迅雷、PPS影音、AcdSee，甚至微软自家的office全套都有for mac，今天下定决心把mac机上vmware里的windows 7给“打入冷宫”，准备把oracle、nexus、jboss、weblogic 这些跟java开发有端的“重量级”大家伙都放到cent os虚拟机里，日常开发只在mac 主机上保留eclipse/xcode/mono develop即可。
1 Oracle MySQL Server远程安全漏洞 Oracle MySQL Server远程安全漏洞发布时间：2014-04-17漏洞编号：BUGTRAQ ID: 66863,66872 CVE(CAN) ID: CVE-2014-2450,CVE-2014-2434漏洞描述：Oracle MySQL Server是一个轻量的关系型数据库系统。 Oracle MySQL Server在MySQL Server组件的实现上存在远程安全漏洞，此漏洞可通过MySQL Server协议利用，经身份验证的远程
链接：https://pan.baidu.com/s/1V_2GU52OP7gAbHVgJD8gGA
Weblogic是美国Oracle公司出品的一个应用服务器(application server)，确切的说是一个基于Java EE架构的中间件，是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器
我们经常在linux要查找某个文件或命令，但不知道放在哪里了，可以使用下面的一些命令来搜索。 which 查看可执行文件的位置 whereis 查看文件的位置 locate 配合数据库查看文件位置 find 实际搜寻硬盘查询文件名称 1、which 语法： which 可执行文件名称 例如： [root@redhat ~]# which passwd /usr/bin/passwd which是通过 PATH 环境变量到该路径内查找可执行文件，所以基本的功能是寻找可执行文件 2、whereis 语法： whereis [-bmsu] 文件或者目录名称 参数说明： -b ： 只找二进制文件 -m： 只找在说明文件manual路径下的文件 -s ： 只找source源文件 -u ： 没有说明文档的文件 例如： [root@redhat ~]# whereis passwd passwd: /usr/bin/passwd /etc/passwd /usr/bin/X11/passwd /usr/share/man/man5/passwd.5.gz /usr/share/man/man1/passwd.1.gz /usr/share/man/man1/passwd.1ssl.gz 将和passwd文件相关的文件都查找出来 [root@redhat ~]# whereis -b passwd passwd: /usr/bin/passwd /etc/passwd /usr/bin/X11/passwd 只将二进制文件 查找出来 和find相比，whereis查找的速度非常快，这是因为linux系统会将系统内的所有文件都记录在一个数据库文件中，当使用whereis和下面即将介绍的locate时，会从数据库中查找数据，而不是像find命令那样，通过遍历硬盘来查找，效率自然会很高。 但是该数据库文件并不是实时更新，默认情况下时一星期更新一次，因此，我们在用whereis和locate 查找文件时，有时会找到已经被删除的数据，或者刚刚建立文件，却无法查找到，原因就是因为数据库文件没有被更新。 3、 locate 语法： locate 文件或者目录名称 例 如： [root@redhat ~]# locate passwd /etc/passwd /etc/passwd- /etc/cron.daily/passwd /etc/init/passwd.conf /etc/init.d/passwd /etc/pam.d/chpasswd /etc/pam.d/passwd /etc/security/opasswd …………
71、简述synchronized和java.util.concurrent.locks.Lock的异同 ？ 主要相同点：Lock能完成synchronized所实现的所有功能主要不同点：Lock有比synchronized更精确的线程语义和更好的性能。synchronized会自动释放锁，而Lock一定要求程序员手工释放，并且必须在finally从句中释放。 72、EJB的角色和三个对象 一个完整的基于EJB的分布式计算结构由六个角色组成，这六个角色可以由不同的开发商提供，每个角色所作的工作必须遵循
闲着发慌，fofa找了一个weblogic，直接获取administrator权限。
1、B/S与C/S的联系与区别。 C/S是Client/Server的缩写。服务器通常采用高性能的PC、工作站或小型机，并采用大型数据库系统，如Oracle、Sybase、InFORMix或 SQL Server。客户端需要安装专用的客户端软件。 B/Ｓ是Brower/Server的缩写，客户机上只要安装一个浏览器（Browser），如Netscape Navigator或Internet Explorer，服务器安装Oracle、Sybase、InFORMix或 SQL Server等数据库。在这种结
-T5 指定扫描过程使用的时序，总共有6个级别（0-5），级别越高，扫描速度越快，但也容易被防火墙或IDS检测并屏蔽掉，在网络通讯状况较好的情况下推荐使用T4。
靶场链接http://vulnstack.qiyuanxuetang.net/vuln/detail/3/
先膜tomato师傅出的题，偷马桶师傅出的题一直都是渗透思路，这点我是服的，顺手膜小m…因为在找真是ip这一步我花了十几个小时都失败了，当时的思路还留在博客里，算是个纪念吧…
环境搭建： kali攻击机，Windows 2008（web服务），Windows 2012（DC域控），windows7 （PC机）。
大家好，我是ABC_123。在日常的工作学，ABC_123写了很多的蓝队分析方面的小脚本小工具，来回切换工具太麻烦，对于内存马的编译、反编译、各种编码解码尤其麻烦，于是将这些小工具集合起来形成了现在的“蓝队分析研判工具箱”，重点解决蓝队分析工作中的一些痛点问习中题。
近日，国内出现Satan最新变种勒索病毒感染案例，被加密的文件都会被修改为.lucky后缀。该勒索病毒同时具有传播能力，其传播模块与Satan勒索病毒类似，利用多个应用漏洞进行传播。并且该病毒具有多平台感染的特点，恶意文件可在Windows和Linux系统下执行并传播。
本次多层网络域渗透项目旨在模拟渗透测试人员在授权的情况下对目标进行渗透测试, 从外网打点到内网横向渗透, 最终获取整个内网权限的过程.
序列化是让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。
我注意到HttpSession.setAttribute的工作方式有所不同.在WLS10中,任何已存储在某个键下的对象都将被替换.
对于刚接触编程的新人来说，可能并不能很清楚的知道架构是怎么来的，都包括什么内容。如果非得说什么架构，那么可能就是目前在 IDEA 中打开的工程就是架构。
引言： 某银行采用分布式架构对其核心产品系统进行重构，重构后该系统由多个技术模块和业务模块组成，存在联机交易、异步消息、自动任务、批量等交易形态。各模块之间交互较多，内部交易线复杂，本文结合该系统的性能测试实践分享一些在这种复杂的分布式金融系统中如何定位性能问题并通过调优提升系统性能的经验。 一、性能问题定位方法 1、响应时间分析 系统的性能指标主要体现在响应时间和TPS两点。互联网金融时代，客户的用户体验尤其重要。如果系统响应慢，应优先定位响应时间问题，优化联机交易响应时间。做性能测试时，记录下被测系
大家好，我是ABC_123。“蓝队分析研判工具箱”就是把我平时写的蓝队小工具集合起来形成的，重点解决蓝队分析工作中的一些痛点问题。此0.83版本重点解决IPv6的支持问题，支持哥斯拉webshell全部14种加密流量的解密，感谢"小黑"的帮助，添加溯源分析功能、网空资产测绘功能：包括Hunter、佛法、VirusTotal、Censys、Shadon、Zoomeye、Quake、微步威胁情报搜索功能，查看图片经纬度地理位置等功能，对所有文本框添加右键菜单，解决Linux、mac及jdk高版本兼容问题，很多其它功能如日志分析、聚合分析、接口查询由于时间关系未能完成，后续再继续更新。
大家好，我是ABC_123。“蓝队分析研判工具箱”就是把我平时写的蓝队小工具集合起来形成的，重点解决蓝队分析工作中的一些痛点问题。此0.81版本支持哥斯拉webshell全部14种加密流量的解密，感谢"小黑"的帮助，添加溯源分析功能、网空资产测绘功能：包括Hunter、佛法、VirusTotal、Censys、Shadon、Zoomeye、Quake、微步威胁情报搜索功能，查看图片经纬度地理位置等功能，对所有文本框添加右键菜单，解决Linux、mac及jdk高版本兼容问题，很多其它功能如日志分析、聚合分析、接口查询由于时间关系未能完成，后续再继续更新。文末会给出ABC_123的官方Github下载地址，后续会持续在github发布该工具的最新版本。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
