全部文章

Java 内存马第二篇 - Tomcat 内存马 二、Tomcat 内存马 1. Filter 内存马 Filter 我们称之为过滤器，是 Java 中最常见也最实用的技术之一，通常被用来处理静态 web 资源、访问权限控制、记录日志等附加功能等等。一次请求进入到服务器后，将先由 Filter 对用户请求进行预处理，再交给 Servlet。 ...

Java 内存马第一篇 - 基础 一、基础： 1. 什么是内存马 无文件的 webshell 内存马又名无文件马，见名知意，也就是无文件落地的 webshell 技术，是由于 webshell 特征识别、防篡改、目录监控等等针对 web 应用目录或服务器文件防御手段的介入，导致的文件 shell 难以写入和持久而衍生出的一种“概念型”木马。这种技术的核心思想非常简单，一句话就能概括，那就是对访问路径映射及相关处理代码的动态注册。 ...

初识漏洞 一、SQL注入漏洞 SQL注入实战指南-CSDN博客 SQL注入攻击（SQL Injection） SQL注入原理： SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。 ...

sqlmap命令详解 转载自： 全栈程序员站长 原文：https://cloud.tencent.com/developer/article/2148285 ...

概述： 永恒之蓝（英语：EternalBlue）是美国国家安全局开发的漏洞利用程序，于2017年4月14日被黑客组织影子掮客泄漏。该工具利用445/TCP端口的文件分享协议的漏洞进行散播。 ...

XSS 弹窗演示 进入本页时会执行一次固定的弹窗，用于保留这篇靶场文章原本的演示效果。 javascript 1 alert(1); 这里没有开放 Markdown 原始脚本执行；弹窗由主题模板根据本页的 demoAlert 字段安全触发，不会影响其他文章。

FastJson反序列化 基础 官方源码： https://github.com/alibaba/fastjson 使用手册： https://www.w3cschool.cn/fastjson/ Fastjson是一个Java库，可用于将Java对象转换为它们的JSON表示。它还可以用于将JSON字符串转换为等效的Java对象。Fastjson可以处理任意Java对象，包括没有源代码的预先存在的对象。 ...

Shiro反序列化 Shiro反序列化 参考文章： Shiro反序列化漏洞笔记一（原理篇） 环境搭建 直接从github上clone代码到本地。 plain 1 2 3 git clone https://github.com/apache/shiro.git cd shiro git checkout shiro-root-1.2.4 修改 pml.xml（路径为 \shiro\samples\web\pom.xml） ...

一、JNDI 简介 JNDI(Java Naming and Directory Interface，Java命名和目录接口) 是一个应用程序设计的 API，一种标准的 Java 命名系统接口。JNDI 提供统一的客户端 API，通过不同的访问提供者接口JNDI服务供应接口(SPI)的实现，由管理者将 JNDI API 映射为特定的命名服务和目录系统，使得 Java 应用程序可以和这些命名服务和目录服务之间进行交互。 ...

1、RMI是什么 Java RMI用于不同虚拟机之间的通信，这些虚拟机可以在不同的主机上、也可以在同一个主机上；一个虚拟机中的对象调用另一个虚拟上中的对象的方法，只不过是允许被远程调用的对象要通过一些标志加以标识。这样做的特点如下： ...