腾讯云
开发者社区
文档
建议反馈
控制台
登录/注册
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
搜索
搜索
关闭
发布
首页
学习
活动
专区
工具
TVP
最新优惠活动
返回腾讯云官网
卓文见识
专栏成员
举报
44
文章
271070
阅读量
41
订阅数
订阅专栏
申请加入专栏
全部文章(44)
安全(34)
网络安全(24)
https(14)
html(13)
文件存储(11)
php(9)
java(8)
http(8)
json(6)
xml(5)
sql(5)
网站(5)
编程算法(5)
python(4)
腾讯云测试服务(4)
javascript(3)
android(3)
数据库(3)
jsp(2)
jquery(2)
github(2)
tomcat(2)
tcp/ip(2)
费用中心(1)
负载均衡(1)
bash(1)
servlet(1)
node.js(1)
css(1)
access(1)
打包(1)
ide(1)
git(1)
jar(1)
struts(1)
bash 指令(1)
spring(1)
访问管理(1)
命令行工具(1)
SSL 证书(1)
开源(1)
缓存(1)
黑客(1)
爬虫(1)
shell(1)
jdk(1)
正则表达式(1)
mybatis(1)
dubbo(1)
数据分析(1)
windows(1)
安全漏洞(1)
搜索文章
搜索
搜索
关闭
【安全攻防】安全告警分析处置与模型开发思考
安全
网络安全
bash
bash 指令
tcp/ip
在企业安全运营中,安全运营中心(SOC)部署了各种安全设备,收集到了海量安全数据,并针对这些数据开发出各种检测模型,但随之而来的问题就是:
Jayway
2022-11-24
1.6K
0
从漏洞挖掘角度分析fastjson1.2.80 Bypass
文件存储
网络安全
安全
java
编程算法
Fastjson中parse方法或者parseObject可以将JSON串转化成Java对象,json数据外部可控的情况下可能出现fastjson反序列化漏洞。
Jayway
2022-08-30
2.1K
0
Spring Core-RCE深入分析及步步调试出payload
编程算法
安全
http
tomcat
android
既然Spring最新0day漏洞是绕过CVE-2010-1622的修复方式后产生的,那就从这个古老漏洞的本质:参数绑定入手,搭建环境进行调试。
Jayway
2022-04-19
1.3K
0
Hook框架Frida之安装踩坑日记
python
android
windows
https
一、概述 Frida,官网介绍:Dynamic instrumentation toolkit for developers, reverse-engineers, and security researchers,是个轻量级so级别的hook框架,Hook的原理简单地说就是用一个新的函数替代掉原来的函数。
Jayway
2020-07-15
4.6K
0
CVE-2020-5902——关于;号绕过认证技巧总结
php
tomcat
servlet
http
java
借BIG IPCVE-2020-5902 漏洞的payload说一下前端认证绕过,注意这里用到的;分号,是不是在很多认证绕过的payload里都见过。
Jayway
2020-07-13
5K
0
[CVE-2020-1948] Apache Dubbo Provider反序列化漏洞复现及分析
https
文件存储
html
dubbo
github
Apache Dubbo是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡,以及服务自动注册和发现。
Jayway
2020-07-01
2.4K
0
jQuery最新xss漏洞分析——CVE-2020-11022/11023
jquery
安全
网络安全
html
正则表达式
jQuery官方上周发布了最新版本3.5.0,主要修复了两个安全问题,官方博客为:
Jayway
2020-06-03
29.7K
0
Python安全之反序列化——pickle/cPickle
文件存储
编程算法
网络安全
安全
python
Python中有两个模块可以实现对象的序列化,pickle和cPickle,区别在于cPickle是用C语言实现的,pickle是用纯python语言实现的,用法类似,cPickle的读写效率高一些。使用时一般先尝试导入cPickle,如果失败,再导入pickle模块。
Jayway
2020-06-02
3.3K
0
Python安全之SSTI——Flask/Jinja2
http
网络安全
安全
python
SSTI(Server Side Template Injection),又称服务端模板注入攻击。其发生在MVC框架中的view层,常见的用于渲染的模板有Twig、FreeMarker、Velocity、Smarty等。
Jayway
2020-06-02
4K
0
CTF系列——DASCTF四月春季赛Writeup
文件存储
编程算法
https
费用中心
html
很久没正式打CTF,周末抽空参加了下安恒四月赛的DASCTF,个别题目质量还是蛮高的,这里把做出来的和赛后补充的做个记录。
Jayway
2020-05-09
5K
1
从Kryo反序列化到Marshalsec框架到CVE挖掘
文件存储
安全
https
json
spring
Kryo 是一个快速序列化/反序列化工具,其使用了字节码生成机制。Kryo 序列化出来的结果,是其自定义的、独有的一种格式,不再是 JSON 或者其他现有的通用格式;而且,其序列化出来的结果是二进制的(即 byte[];而 JSON 本质上是字符串 String),序列化、反序列化时的速度也更快。
Jayway
2020-05-07
2.3K
0
IDEA动态调试(二)——反序列化漏洞(Fastjson)
文件存储
网络安全
安全
java
json
成因:在把其他格式的数据反序列化成java类的过程中,由于输入可控,导致可以执行其他恶意命令,但追根究底是需要被反序列化的类中重写了readObject方法,且被重写的readObject方法/调用链中被插入了恶意命令。
Jayway
2020-03-16
2.3K
0
IDEA动态调试(三)——反序列化漏洞(xml+Yaml)
文件存储
xml
json
java
html
大多数 java 项目用来处理数据基本上都是xml 和 json 两种格式,上篇讲了fastjson的反序列化,另一个json处理库jackson的漏洞原理和利用方式类似。
Jayway
2020-03-12
2.8K
0
IDEA动态调试(一)——OGNL表达式注入(S2-001)
struts
网站
网络安全
安全
jsp
首先在IDEA中搭建调试环境,File-New-Java Enterprise,选择Web Application:
Jayway
2020-03-12
2.5K
0
Python代码审计汇总
python
文件存储
安全
sql
其中subprocess较为常见,防御办法需保证shell=True未设置 转义变量:Python 2.x使用pipes.quote(),Python 3.3或更高版本使用shlex.quote();错误示例代码:
Jayway
2020-02-26
2.5K
0
Java代码审计汇总系列(四)——反序列化
文件存储
安全
java
jdk
json
不安全的反序列化(Insecure Deserializations)在最新的OWASP Top 10列表中列于A8。这个漏洞的本质和其他漏洞其实基本相同,是在反序列化的过程中未严格控制用户输入,导致DOS或RCE,只是反序列化这个概念可能稍陌生一点,可通过之前文章了解反序列化原理和Weblogic系列漏洞:Weblogic反序列化历史漏洞全汇总。
Jayway
2019-11-12
2.1K
0
Java代码审计汇总系列(二)——XXE注入
xml
网络安全
安全
java
OWASP Top 10中的另一个注入漏洞是XML外部实体注入(XXE),它是在解析XML输入时产生的一种漏洞,漏洞原理和黑盒挖掘技巧见之前的文章:XML外部实体(XXE)注入原理解析及实战案例全汇总,这里从代码层角度挖掘XXE漏洞。
Jayway
2019-11-12
2.4K
0
Java代码审计汇总系列(一)——SQL注入
sql
安全
mybatis
网络安全
java
相比黑盒渗透的漏洞挖掘方式,代码审计具有更高的可靠性和针对性,更多的是依靠对代码、架构的理解;使用的审计工具一般选择Eclipse或IDEA;审计工作过程主要有三步:风险点发现——>风险定位追踪——>漏洞利用,所以审计不出漏洞无非就是find:“找不到该看哪些代码”和judge:“定位到代码但判断不出有没有问题”。而风险点发现的重点则在于三个地方:用户输入(入参)处+检测绕过处+漏洞触发处,一般审计代码都是借助代码扫描工具(Fortify/Checkmarx)或从这三点着手。
Jayway
2019-11-07
3.6K
0
APP端测试系列(3)——客户端安全
腾讯云测试服务
数据库
sql
打包
jar
在APP测试的第三部分之前插播一个新闻《自学黑客薅羊毛,薅出玫瑰金手镯》,一个通过测试APP客户端,绕过验证注册二十万账号,从而获利六万余元最终喜获金手镯的“励志”故事:
Jayway
2019-10-15
2.2K
0
APP端测试系列(2)——服务端安全
安全
腾讯云测试服务
https
网络安全
数据库
包括密码复杂度(弱口令)、多因素检验(验证码)、失败锁定机制、单点登录限制等方面;
Jayway
2019-10-10
1.9K
0
点击加载更多
社区活动
【纪录片】中国数据库前世今生
穿越半个世纪,探寻中国数据库50年的发展历程
立即查看
Python精品学习库
代码在线跑,知识轻松学
立即查看
博客搬家 | 分享价值百万资源包
自行/邀约他人一键搬运博客,速成社区影响力并领取好礼
立即体验
技术创作特训营·精选知识专栏
往期视频·千货材料·成员作品 最新动态
立即查看
领券
问题归档
专栏文章
快讯文章归档
关键词归档
开发者手册归档
开发者手册 Section 归档