ZONE.CI 全球网

Yongyou U8cloud FileManageServlet 反序列化代码执行漏洞

严重Yongyou U8cloud FileManageServlet 反序列化代码执行漏洞CVE编号
N/A利用情况
POC 已公开补丁情况官方补丁披露

2023-11-250评论

Yongyou U8cloud LoginVideoServlet 反序列化代码执行漏洞

严重Yongyou U8cloud LoginVideoServlet 反序列化代码执行漏洞CVE编号
N/A利用情况
POC 已公开补丁情况官方补丁披露

2023-11-250评论

前尘——三层架构粘合剂的爱恨情愁

前言
Web后端开发的历史长河中，从JSP，Servlet到SSH(Hibernate,Spring,Struts2)再到SSM(Mybatis,Spring,

2023-11-253评论

CVE-2017-7504 Jboss反序列化浅析

一、原理（一）概述
在JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPSer

2023-11-245评论

前尘——内存中无处可寻的木马

前言
很早之前就立下flag说聊聊内存马,然后出了一篇文章Java Agent的内容。后来就搁浅了,这次想先写聊聊两种最为常见的内存马,spring内存马和fi

2023-11-242评论

Java内存马攻防实战——攻击基础篇

在红蓝对抗中，攻击方广泛应用webshell等技术在防守方提供的服务中植入后门，防守方也发展出各种技术来应对攻击，传统的落地型webshell很容易被攻击方检测

2023-11-240评论

Tomcat回显技术学习汇总

0x01 简介
2022年初打算把反序列化漏洞后利用技术给学习下，主要分为回显技术和内存马技术两大模块。因为之前对回显技术有所了解，就先把这块知识给弥补下。0x

2023-11-242评论

Tomcat 内存马技术分析（一）—— Filter型

内存马技术早在前几年就已经在广泛使用，通俗的名字为不落地马或者无文件马。这种马的实现技术相对于传统马来说更为复杂，但是随着产品安全防护等级的不断提高，内存马技术

2023-11-243评论

Java内存马攻防实战——攻击基础篇

2023-11-240评论

CVE-2017-7504 Jboss反序列化浅析

ZONE.CI 全球网:一、原理（一）概述
在JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILSer

2023-11-133评论

Shiro反序列化漏洞与Tomcat注入内存马学习

ZONE.CI 全球网:最近在看phith0n师傅的教程入门JAVA安全,其中提到的Shiro反序列化已经是个2016年的老洞了
但是这个漏洞第一似乎比较适合入门,而且实战确实还能遇到几个(犄角旮旯里

2023-11-133评论

ForgeRock OpenAM RCE（CVE-2021-35464）分析

ZONE.CI 全球网:0x01 漏洞描述
2021年6月30日，国外安全研究人员披露了ForgeRock AM远程代码执行漏洞，漏洞编号为CVE-2021-35464。攻击者可在无需认证的情况下，通

2023-11-133评论

SpringMVC配合Fastjson的内存马利用与分析

ZONE.CI 全球网:SpringMVC
Spring MVC是一种基于Java的实现了Web MVC设计模式的请求驱动类型的轻量级Web框架，即使用了MVC架构模式的思想，将web层进行职责解耦，

2023-11-132评论

spring-boot-thymeleaf-ssti

ZONE.CI 全球网:spring-boot下的thymeleaf模板注入挺有趣的，本文尝试对该漏洞一探究竟，如有谬误，还请同学们指教。
https://github.com/veracode-re

2023-11-133评论

Tomcat Filter类型内存马与查杀技术学习

ZONE.CI 全球网:前言
随着每年攻防对抗强度的增加，普通的木马在各大厂商的安全设备下，根本难以存活，想要落地一个实体木马的难度逐渐增大。逐步完善的过滤机制、前后端分离的趋势，使得传统的websh

2023-11-133评论

前尘——内存中无处可寻的木马

ZONE.CI 全球网:前言
很早之前就立下flag说聊聊内存马,然后出了一篇文章Java Agent的内容。后来就搁浅了,这次想先写聊聊两种最为常见的内存马,spring内存马和filter内存马。

2023-11-131评论

Shiro权限绕过漏洞分析

ZONE.CI 全球网:前言
前段时间遇到通过分号绕过nginx层屏蔽并顺利访问到Springboot项目actuator端点的问题，修复过程中偶然发现当项目使用shiro组件时，若将shiro升级到

2023-11-133评论

非攻——non RCE 题目分析

ZONE.CI 全球网:最近在恶补反序列化的知识点，mysql jdbc反序列化漏洞也是一个比较经典的漏洞。学习的过程中正好发现AntCTFxD^3CTF有道赛题把这个知识点出成了题目，为了了解该jd

2023-11-132评论

ManageEngine ADSelfService Plus CVE-2021-40539 漏洞分析

ZONE.CI 全球网:ZOHO ManageEngine ADSelfService Plus是美国卓豪（ZOHO）公司的针对 Active Directory 和云应用程序的集成式自助密码管理和单

2023-11-132评论

深入浅出内存马（一）

ZONE.CI 全球网:0x01 简述
Webshell技术历程
在Web安全领域，Webshell一直是一个非常重要且热门的话题。在目前传统安全领域，Webshell根据功能的不同分为三种类型，分别

2023-11-132评论