JAVA代码审计01——MAC下审计环境搭建
前言JAVA的代码审计相对来说是现在CTF WEB方向进阶必经的过程,但是对这方面系统性的教学也很少,所以准备写个系列文章,以一些经典的CVE复现为主,来带大家进行代码审计工作,同时,在进行学习的过程中不断补充相关的JAVA知识,最终练就自行审计的本领。参考使用的书籍为:
《JAVA代码审计(入门篇)》—— MS08067团队 x 安全狗
《JAVA代码审计实战》 —— 奇安信(腹黑大佬打call)
环境搭建工欲善其事,必先利其器。本次代码审计使用的环境主要是在mac下进行的,使用的电脑为M1芯片的MacBook,以下是对搭建环境进行的一个记录。
没写完,慢慢写
Java常见框架反序列化漏洞流量特征整理
前言本文主要整理一些在HW行动即生产环境中常见的JAVA框架,红队识别其框架特征理论上除了指纹识别和漏洞点验证以外没有很好的识别方法,因此,本文着重介绍其常见漏洞。之后可能还会补充主要涉及到的框架有以下几种:
框架名称
漏洞编号
JBOSS
CVE-2015-7501
CVE-2017-12149
Shiro
Shiro-550
Shiro-721
Weblogic
CVE-2019-2725
Fastjson
CVE-2017-18349
指纹识别工具在线指纹识别网站有很多,大家可以自行选择,在这里只推荐我觉得好用的一个插件(不是因为穷买不起云悉)
WappalyzerWappalyzer插件是一款专为谷歌浏览器的打造的浏览插件,插件功能强大全面,简单易用,使用后可以帮助用户更轻松便捷的分析网站信息,还可以分析目标网站使用的平台架构,网站环境,服务器配置环境,JavaScript框架,编程语言和其他参数。使用起来也很简单,加入到chrome的插件里直接就可以使用了,访问页面的时候点击右上角即可查看。
TideFingerTideFinger是一 ...