前言

最近打算学习代码审计，拿到了一份使用springBoot搭建的源码，发现和我以前使用spring和springMVC直接搭建有很大的不同，而且这份源码还没有web.xml。因此有必要对这些搭建方式进行一些了解，以便后续审计工作。

前言

本篇文章重点看了init阶段，springmvc代码量大，有些部分存在理解不透得情况，本文作为自身平常学习记录，不建议大家阅读学习。

前言

很多反序列化的防御都是在resolveClass中限制了白名单或者黑名单来控制反序列化，今天探究其原理。

前言

之前项目遇到httponly的情况，总结后发现对于xss遇到httponly如何继续利用了解手段不够多。从同事那里听说了这种技巧于是就决定总结一下此种用法。

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections7的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections6的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections5的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets之CommonsCollections4

实验环境:jdk1.8.0_211、org.apache.commons:commons-collections4:4.0

前言

CommonCollections系列的gadgets之CommonsCollections3

实验环境:jdk1.7.0_80、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets之CommonsCollections2

实验环境:jdk1.8.0_211 、org.apache.commons:commons-collections4:4.0