前言

这篇文章是在上一篇Xstream反序列化SSRF研究(CVE-2020-26258)之后的文章，如果要阅读，必须要先看上一篇文章。

前言

研究一些jar包的漏洞，比较常用的有Xstream等，先从Xstream历史漏洞看起，拿CVE-2020-26258这个SSRF分析一下。

前言

前段时间爆出了cve-2020-14882的weblogic越权漏洞，本文对该漏洞进行分析并给出不同版本适用的payload。

实验环境：weblogic 10.3.6.0.0、weblogic 12.3.1.0.0、weblogic 12.2.1.3.0、weblogic 12.2.1.4.0、weblogic 14.1.1.0.0，IDEA

前言

shiro反序列化一直在打，原理大致了解为由于硬编码加解密了cookie中rememberMe字段的内容，在shiro处理时解密了rememberMe字段的内容并进行了反序列话，在存在合适的gadget时可以执行任意命令。本文并无创新点，为自己学习老洞的过程记录。

前言

在fastjson1.2.25更新之后，新增了白名单校验，只有在白名单之中的类才能被反序列化，随后也出现了绕过，本文分析作者是如何进行修复的以及绕过方式。

前言

之前还没有好好的分析过fastjson，每次在实战的时候也比较茫然，不清楚原理拿exp乱打很容易会漏洞。而且一位信奉别人的写的exp并不太好，反序列化漏洞利用涉及到各种版本问题，网上公开的exp拿来学习可以，就实战来说，其全面性还是差点意思。因此自己分析一下fastjson，打打基础，下面开始。

前言

平时扫描弱口令一般都用超级弱口令，前段时间做项目，发现在渗透过程中拿到一台linux服务器或者拿了一台windows服务器而这台windows服务器我们又不想开3389的情况下，扫描其内网弱口令只能使用超级弱口令+sock形式。而这种方式由于多了一层代理，受网络波动比较大，形象点就是小针管上面接了一个高压水枪。扫描出来的准确度就不用说了。而我们渗透时候又常用webshell而非gui等来执行命令。所以我需要一款win/linux双用爆破工具，第一个想到的当然是go。本着不造轮子的思想，先搜索了一下有没有人写过，发现了x-crack这款工具，读了一遍后发现作者代码写的真的很好，比我自己写代码时东一榔头西一棒槌好多了。想着写篇文章分析一下工具代码，这样以后在看会比较快。

前言

最近打算学习代码审计，拿到了一份使用springBoot搭建的源码，发现和我以前使用spring和springMVC直接搭建有很大的不同，而且这份源码还没有web.xml。因此有必要对这些搭建方式进行一些了解，以便后续审计工作。

前言

本篇文章重点看了init阶段，springmvc代码量大，有些部分存在理解不透得情况，本文作为自身平常学习记录，不建议大家阅读学习。

前言

很多反序列化的防御都是在resolveClass中限制了白名单或者黑名单来控制反序列化，今天探究其原理。