XStream反序列化 XStream基础 XStream简介 XStream 是一个 Java 库，用于简化 Java 对象与 XML 之间的相互转换（序列化与反序列化）。它允许开发人员将 Java 对象直接转换为 XML 格式，或从

Log4j2远程代码执行 前言 Log4j感觉还是比较好利用的，在shagou大佬的面试中，给出一个log4j漏洞绕过payload，要求分析研判，虽说能一眼看出时log4j的利用，但是也是头一次见了。 环境配置 JDK8u65 Lo

Java反序列化绕WAF之加大量脏数据 WAF背景 大多数的WAF受限于性能影响，当request足够大时，WAF就可能因为性能原因而做出让步，超出检查长度的内容，将不会被检查。这一点在一些CTF的题目中有所体现。 虽然这样可以绕过检测，

Java反序列化打内存马 对于我们之前学习的Tomcat内存马，只算是做了一些简单的实验，并未能够完全应用，只能通过文件上传jsp的方式来注入内存马，也是存在文件落地的现象的，并非真正的内存马 所以这篇文章，我们来学习利用反序列化来实现真

Java回显技术 通过文件描述符回显 该回显方法是基于proc/self/fd/i的攻击 分析 在Linux环境下，可以通过文件描述符proc/self/fd/i获取到网络连接，在Java中我们可以直接通过文件描述符获取到一个Strea

Struts2 Struts2简介 Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts 2是

SnakeYaml 今天该学习SnakeYaml这条链子了，大概看了一遍文章，相比于刚学的ROME，难度还是有的 前置基础 Yaml语法 根据了解，SnakeYaml是Java的yaml解析类库，支持Java对象的序列化与反序列化（看见和

C3P0 链 C3P0 组件介绍 C3P0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。目前使用它的开源项目有Hibernate，Spring等。 JDBC是Java DataBase

SPEL表达式注入 前置基础 SPEL简介 在 Spring3 中引入了 Spring 表达式语言（Spring Expression Language，简称 SPEL），这是一种功能强大的表达式语言，支持在运行时查询和操作对象图，可以与基

FastJson 1.2.62-1.2.68反序列化漏洞 今天学习一下FastJson 中 1.2.62 - 1.2.68 的反序列化漏洞，思路的话和之前一样基于黑名单的绕过，但是大部分还是在 AutoType 开启的情况下，且基本都基于存