⼯具, 在标签中选择网络, 重新访问⻚面服务器响的Content-Type, 知道了目标服务器发送过来的是⼀串json数据
Java中, 处理Json数据⼀般使用的框架:Jackson、Fastjson...等尝试对其Java框架中, 处理Json数据的组件进行黑盒测试。...方法替换为POST方法, 得到了服务器500状态码信息,可收集到的信息:
1.报错⻚面的信息:Whitelabel Error Page 这是SpringBoot框架的报错⻚面(后端Java开发)
2....Java后端Web语⾔中可能存在使用了数据处理的组件, 例如:xstream、fastjson 等,经过测试多种组件的payload后,发现存在Xstream反序列化漏洞(CVE-2021-21351..., 将jsp儿文件进行zip压缩后, 将后缀名改为war
在部署 -> 安装 -> 上传文件中上传shell.war文件, 并⼀路以默认设置点击下⼀步 ,上传完成后, 在部署控制⻚面, 可以看到已经上传了的