反序列化渗透与攻防(二)之Java反序列化漏洞
Java反序列化漏洞
反序列化漏洞
JAVA反序列化漏洞到底是如何产生的？
1、由于很多站点或者RMI仓库等接口处存在java的反序列化功能，于是攻击者可以通过构造特定的恶意对象序列化后的流，让目标反序列化，从而达到自己的恶意预期行为，包括命令执行，甚至 getshell 等等。
2、Apache Commons Collections是开源小组Apache研发的一个 Collections 收集器框架。这个框架中有一个InvokerTransformer.java接口，实现该接口的类可以通过调用java的反射机制来调用任意函数，于是我们可以通过调用Runtime.getRuntime.exec() 函数来执行系统命令。Apache commons collections包的广泛使用，也导致了java反序列化漏洞的大面积流行。
所以最终结果就是如果Java应用对用户的输入做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化过程执行我们自定义的命令，从而实现远程任意代码执行。
在说反序列化漏洞原理之前我们先来说说JAVA对象的序列化和反序列化
序列化和反序列化
序列化 (Serialization)：将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将
相关文章：
反序列化渗透与攻防(二)之Java反序列化漏洞
Java反序列化漏洞 反序列化漏洞 JAVA反序列化漏洞到底是如何产生的？ 1、由于很多站点或者RMI仓库等接口处存在java的反序列化功能，于是攻击者可以通过构造特定的恶意对象序列化后的流，让目标反序列化，从而达到自己的恶意预期行为，包括命令执行，甚至 getshell 等等。 …...
优先级队列的模拟实现（仿函数）
目录： 1.priority_queue接口的实现（先建大堆） 1.push 加 向上调整的实现 2.pop 3.迭代器区间的构造 2.仿函数 3.仿函数优化我们的优先级队列 -------------------------------------------------------------------------------------------…...
Python pandas和numpy用法参考（转）
以下是转载：Python pandas用法 - 简书介绍 在Python中，pandas是基于NumPy数组构建的，使数据预处理、清洗、分析工作变得更快更简单。pandas是专门为处理表格和混杂数据设计的，而NumPy更适合处...https://www.jianshu.com/p/840ba1…...
mysql数据库的在线数据备份与数据恢复
MySQL是一种常用的关系型数据库管理系统，它支持在线备份和恢复数据。在线备份指的是在MySQL数据库运行时备份数据，而不会中断或影响现有的数据库服务。在本文中，我们将介绍MySQL数据库的在线数据备份和恢复的原理和操作步骤。 一、备份原理 …...
Vue3自定义指令之前端水印功能实现
一、前置知识 — Vue 中的自定义指令 先来说说 vue2和vue3中自定义全局指令的区别 相同点：指令的应用场景，原理是一致的； 不同点：生命周期钩子函数名，指令定义的格式不一样。 vue2中自定义全局指令： 定义…...
文章生成器写出来的原创文章
文章生成机器人 文章生成机器人是一种基于人工智能技术和自然语言处理算法的程序，可以自动地生成高质量、原创的文章。 文章生成机器人的优点如下： 提高工作效率：文章生成机器人能够在较短的时间内自动帮助用户生成大量的文章，提…...
2023年全国最新高校辅导员精选真题及答案49
百分百题库提供高校辅导员考试试题、辅导员考试预测题、高校辅导员考试真题、辅导员证考试题库等，提供在线做题刷题，在线模拟考试，助你考试轻松过关。 76.气质就是我们平常所说的脾气秉性。 答案：正确 77.社会心理通常是通过社会…...
【STL十】关联容器——set容器、multiset容器
【STL十】关联容器——set容器、multiset容器一、set简介二、头文件三、模板类四、set的内部结构五、成员函数1、迭代器2、元素访问3、容量4、修改操作~~5、操作~~5、查找6、查看操作六、demo1、查找find2、修改操作insert3、修改操作erase、clear七、multisetset和multiset会根…...
什么是Node.js
文章目录什么是Node.js简介常用命令Node内置模块Node.js和JavaScript的区别什么是Node.js 简介 Node.js是一个基于Chrome V8引擎的JavaScript运行环境。它允许开发者使用JavaScript编写服务器端代码，而不仅仅是浏览器端的代码。Node.js的出现使得JavaScript可以在…...
比GPT-4 Office还炸裂，阿里版GPT全家桶来袭
疯狂3月的那一天，一切还历历在目。 微软突然在发布会上放出大招，用Microsoft 365 Copilot掀起了办公软件革命。 而今天，阿里也放出一枚重磅炸弹——阿里版的Copilot也要来了！ 并且比微软更彻底的是，阿里全系产品也都…...
mysql 建表约束
主键约束 -- 主键约束 -- 使某个字段不重复且不得为空，确保表内所有数据的唯一性。 CREATE TABLE user (id INT PRIMARY KEY,name VARCHAR(20) );-- 联合主键 -- 联合主键中的每个字段都不能为空，并且加起来不能和已设置的联合主键重复。 CREATE TABLE …...
在Vue项目中使用tinymce富文本编辑器
TinyMC编辑器简介 TinyMCE是一款易用、且功能强大的所见即所得的富文本编辑器。跟其他富文本编辑器相比，有着丰富的插件，支持多种语言，能够满足日常的业务需求并且免费。 TinyMCE的优势： 开源可商用，基于LGPL2.1 插…...
GPT-4 和ChatGPT API的定价分析
OpenAI发布了他们的ChatGPT新机器学习模型GPT-4。GPT-4是GPT-3的一大进步，GPT-3是当前ChatGPT免费版本(GPT 3.5 Turbo)所运行的模型的基础，今天我们也来凑个热点，研究一下它们的定价 GPT-4新的功能 GPT-4可以在对话中使用图像，并…...
基于html+css的盒子展示2
准备项目 项目开发工具 Visual Studio Code 1.44.2 版本: 1.44.2 提交: ff915844119ce9485abfe8aa9076ec76b5300ddd 日期: 2020-04-16T16:36:23.138Z Electron: 7.1.11 Chrome: 78.0.3904.130 Node.js: 12.8.1 V8: 7.8.279.23-electron.0 OS: Windows_NT x64 10.0.19044 项目…...
【持续更新篇】SLAM视觉特征点汇总+ORB特征点+VINS前端
Harris角点 opencv函数 cornerHarris提取输入图像的Harris角点 检测原理 检测思想：使用一个固定窗口在图像上进行任意方向的滑动，对比滑动前后的窗口中的像素灰度变化程度，如果存在任意方向上的滑动，都有较大灰度变化…...
【C语言】初阶指针（指针及其类型以及野指针）
简单不先于复杂，而是在复杂之后。 目录 1. 指针是什么？ 2. 指针和指针类型 2.1 指针-整数 2.2 指针的解引用 3. 野指针 3.1 野指针成因 3.2 如何规避野指针 1. 指针是什么？ 指针理解的两个要点： 1. 指针是内存中最小…...
UDS统一诊断服务【六】访问时序参数0X83服务
文章目录前言一、访问时序参数服务介绍二、数据格式2.1 请求报文2.2 子功能2.3 响应三、举例前言 本文介绍UDS统一诊断服务的访问时序参数0X83服务，希望能对你有所帮助 一、访问时序参数服务介绍 这个服务我目前在项目中没怎么用到过，先来看看ISO14229…...
Linux应用编程（文件属性与目录）
本章将会讨论如下主题内容。 ⚫ Linux 系统的文件类型； ⚫ stat 系统调用； ⚫ 文件各种属性介绍：文件属主、访问权限、时间戳； ⚫ 符号链接与硬链接； ⚫ 目录； ⚫ 删除文件与文件重命名。 一、Linux 系统中…...
第十四届蓝桥杯嵌入式详解
目录 第一部分 客观试题（15 分） 不定项选择（1.5 分/题） 第二部分 程序设计试题（85 分） 2.1 STM32CubeMX初始化配置 2.1.1 配置GPIO 2.1.2 配置ADC 2.1.3 配置RCC 2.1.4 配置定时器TIM 2.1.5 配置ADC1、AD…...
新建论文三线表模板，一键格式刷
论文三线表模板写在最前面①表设计，新建表格样式②三线表上下线③三线表标题线④设置表格居中⑤设置表头格式容易出错的步骤写在最前面 论文写完啦，准备调整格式 之前建模也是三线表，但只能基于该文档模板，所以重新设置一下。 如…...
攻防世界-web2（逆向加密算法）
打开链接是PHP源码 给了一串密文，并对这串密文进行了一系列操作加密，注释里说解密$miwen就是flag 在此我们先介绍一些PHP内置函数： strrev(string): 反转字符串 strlen(string): 返回字符串的长度 substr(string, start, length): 返回字符…...
C语言学习1--------Visual Studio集成开发环境的搭建
C语言学习1--------Visual Studio集成开发环境的搭建适合初学者适用集成开发环境下载 Visual Studio 2019安装 Visual Studio 2019安装工作负载为C自定义安装位置激活 Visual Studio适合初学者适用集成开发环境 建议初学者适用最新的——Visual Studio 2019为集成开发环境。 部…...
腾讯云轻量应用服务器搭建网站教程（WordPress为例）
腾讯云轻量应用服务器搭建WordPress网站教程，先安装WordPress应用镜像，然后远程连接轻量应用服务器获取WP用户名和密码，域名DNS解析到轻量服务器IP地址，登陆WordPress后台管理全过程，腾讯云百科来详细说下腾讯云轻量服…...
mac上的PCB设计软件现状
Altium Designer是一款商业化的电路板设计软件，目前没有Mac版本。但是，MacOS上有一些类似Altium Designer的电路板设计软件，以下是一些常用的软件： Eagle：Eagle是一款商业化的电路板设计软件，具有强大的功能…...
【面试题】JavaScript 你常用的 函数有哪些呢? (12个）
大厂面试题分享 面试题库 前后端面试题库 （面试必备） 推荐：★★★★★ 地址：前端面试题库 web前端面试题库 VS java后端面试题库大全 本文收集了 12 个在日常开发中非常常用的函数，有些可能很复杂，有些可…...
Java集合——Set接口学习总结
一、HashSet实现类 1.常用方法 增加：add(E e)删除：remove(Object o)、clear()修改：查看：iterator()判断：contains(Object o)、isEmpty()常用遍历方式：Set<String> set new HashSet<String>()…...
2023最全的自动化测试入门基础知识（建议收藏）
1)首先，什么是自动化测试？ 自动化测试是把以人为驱动的测试行为转化为机器执行的一种过程。通常，在设计了测试用例并通过评审之后，由测试人员根据测试用例中描述的过程一步步执行测试，得到实际结果与期望结果的比较。…...
【RabbitMQ】SpringBoot整合RabbitMQ、实现RabbitMQ五大工作模式（万字长文）
目录 一、准备 1、创建SpringBoot项目 2、添加配置信息 3、创建配置类 二、RabbitMQ的配置类里创建队列 三、RabbitMQ的配置类里创建交换机及绑定队列 四、SpringBoot整合RabbitMQ入门案例 1、生产者 2、消费者 四、SpringBoot里实现RabbitMQ五大工作模式 1、简单模式…...
ES6(函数扩展、数组扩展)
一、 函数扩展 1. 参数可以默认 ES5调用函数：如果给参数设置默认需要进行判断 ES6可以直接给参数设置默认 //ES5 function log(x, y) {//两种判断方法（传统分支判断、利用逻辑符）if (typeof y undefined) {y World;}//y y || World;cons…...
postman汉化教程
文章目录1. 下载对应版本的postman2.下载对应版本的汉化包2.1. github下载地址 : （9.12.2）2.2 百度网盘（9.12.2）3. 打开postman安装位置4. 压缩包解压到/resources目录下5. 重启postman即可汉化成中文了1. 下载对应版本的postman …...