标签:代码审计

编程技术

轻松筹韩晋:解构SDL落地的关键点

1

yeseng 发布于 2019-05-20

前言 很多甲方安全团队的工作都是从救火开始的,SDL很少会成为企业在进行安全建设时优先考虑的事项。“事前不用力、使不上力,事后补漏洞”可能是很多安全团队的写照,这种情况背后存在很多的原因,比如没有实现与DevOps交付模式的有机结合,SDL的门槛对于企业现状来说难以满足,SDL的...

阅读(22)评论(0)赞 (0)

Java

【JSP代码审计】从代码审计的角度看系统接口的安全性

27

小丁 发布于 2019-05-17

0x00 前言 代码审计的系统为某计费系统,本着学习交流的态度对本系统进行了审计,在审计过程中发现了诸多安全问题,本文在此列出几项比较经典的漏洞。在此感谢花茶安全团队的天堂空气提供的源码。 0x01 XSS漏洞 在路由userdatachange中存在XSS漏洞,此路由为用户资料...

阅读(19)评论(0)赞 (0)

Java

Freemarker模板注入 Bypass

5

darida 发布于 2019-05-15

原文链接: https://ackcent.com/blog/in-depth-freemarker-template-injection/ 原文作者: Toni Torralba 恭喜翻译作者Hulk@先知社区 价值100元的天猫超市享淘卡一张 欢迎更多优质原创,翻译作者加入 ...

阅读(31)评论(0)赞 (0)

Java

SPEL表达式注入-入门篇

20

wenming.gapo 发布于 2019-05-14

Spring Expression Language(简称SpEL)是一种强大的表达式语言,支持在运行时查询和操作对象图。语言语法类似于Unified EL,但提供了额外的功能,特别是方法调用和基本的字符串模板功能。同时因为SpEL是以API接口的形式创建的,所以允许将其集成到其...

阅读(33)评论(0)赞 (0)

Java

2019-DDCTF-WEB-WriteUp

37

尖兵 发布于 2019-04-19

最近打了打DDCTF,本来是无聊打算水一波。最后竟然做high了,硬肛了几天.. [100pt] 滴~ 看到url疑似base64,尝试解密后发现加密规则如下。 b64(b64(ascii2hex(filename))) 于是可以自己构造,使其实现任意文件读取,首先先尝试/etc...

阅读(92)评论(0)赞 (0)

编程技术

自助安全扫描与代码审计系统架构实践

5

hanze 发布于 2019-04-10

*本文作者:糖果L5Q,属于FreeBuf原创奖励计划,未经许可禁止转载 一、自动安检的需求背景 公司如果有不同的业务线,各业务系统上线发布之前要进行基本的安全检查。业务在国内的其它城市, 机房位置不定,发布时间不定,这时候就需要设计一套自动化机制,在业务上线新功能之前,进行自动...

阅读(75)评论(0)赞 (0)

Java

过滤器作用范围/和/*引发的安全问题

1

xirruiqiang 发布于 2019-04-04

问题:过滤器作用范围设置为/或/*一样么? 安全人员可能觉得不一样,毕竟从对通配符的认识来说, / 代表的只是根目录, /* 代表所有。 开发人员可能觉得一样,根据平常的开发经验,并未发现两者的差别。 其实呢,这两种认识都不正确,更确切地说前者说的不够正确。具体许我慢慢道来。 0...

阅读(60)评论(0)赞 (0)

Java

Jenkins部署Python项目实战

27

刘莉莉 发布于 2019-04-04

我们工作中常用Jenkins部署Java代码,因其灵活的插件特性,例如jdk,maven,ant等使得java项目编译后上线部署一气呵成,同样对于脚本语言类型如Python上线部署,利用Jenkins强大的插件功能,轻松实现CI/CD,但如果部署多项目到同一台服务器涉及环境一致性...

阅读(79)评论(0)赞 (0)

Java

上传包为何可"绕过"Java过滤器?

9

xubiao.zhuang 发布于 2019-03-27

月初和southwind0师傅做代码审计时,发现了一个比较奇葩的问题。系统设置了全局的XSS过滤器,在其他功能点上生效了,但在一个公告发布功能没有过滤到。southwind0师傅通过对比数据包发现公告发布数据包是Multipart数据包(也就是我们常见的文件上传数据包)。后来我经...

阅读(85)评论(0)赞 (0)

Java

安全小课堂第133期【基于代码路径的漏洞挖掘】

4

dulong 发布于 2019-03-21

从代码审计的环境基础开始,层层的拆解开,如何快速的搭建并审计java应用,怎么审计最快,怎么能在黑盒测试的时候站在白盒开发的角度想漏洞。 JSRC 安全小课堂第133期,邀请到ayound师傅就基于代码路径的漏洞挖掘为大家进行分享。同时感谢白帽子们的精彩讨论。 京安小妹...

阅读(68)评论(0)赞 (0)

Java

JAVA代码审计-JEECG快速开发平台(一)

20

yanxinchi 发布于 2019-03-18

漏洞: 两个漏洞getshell,无需知道账号密码 0x00 简述 JEECG是一款基于代码生成器的J2EE快速开发平台,开源界“小普元”超越传统商业企业级开发平台。引领新的开发模式(Online Coding模式(自定义表单)->代码生成器模式->手工MERGE智能...

阅读(82)评论(0)赞 (0)

Java

浅谈RASP技术攻防之基础篇

11

puefu.he 发布于 2019-03-18

引言 本文就笔者研究RASP的过程进行了一些概述,技术干货略少,偏向于普及RASP技术。中间对java如何实现rasp技术进行了简单的举例,想对大家起到抛砖引玉的作用,可以让大家更好的了解一些关于web应用程序安全防护的技术。文笔不好,大家轻拍。 一 、什么是RASP? 在201...

阅读(93)评论(0)赞 (0)

Java

浅谈RASP技术攻防之基础篇

11

尖兵 发布于 2019-03-18

引言 本文就笔者研究RASP的过程进行了一些概述,技术干货略少,偏向于普及RASP技术。中间对java如何实现rasp技术进行了简单的举例,想对大家起到抛砖引玉的作用,可以让大家更好的了解一些关于web应用程序安全防护的技术。文笔不好,大家轻拍。 一 、什么是RASP? 在201...

阅读(52)评论(0)赞 (0)

Java

安全小课堂第132期【代码审计&黑白盒测试】

35

小丁 发布于 2019-03-14

从代码审计的环境基础开始,层层的拆解开,如何快速的搭建并审计java应用,怎么审计最快,怎么能在黑盒测试的时候站在白盒开发的角度想漏洞。 JSRC 安全小课堂第132期,邀请到jkgh006师傅就代码审计&黑白盒测试为大家进行分享。同时感谢白帽子们的精彩讨论。 ...

阅读(66)评论(0)赞 (0)

Java

.NET高级代码审计(第三课)Fastjson反序列化漏洞

21

xiaoli.he 发布于 2019-03-13

作者:Ivan1ee@360云影实验室 0X00 前言 Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本,而在.Net领域也有一个Fastjson的库,作者官宣这是一个读写Json效率最高的的.Net 组件,使用内置方法JSON.ToJSON可以快速序列化...

阅读(63)评论(0)赞 (0)

Java

Java代码审计之SpEL表达式注入

4

xiaoli.he 发布于 2019-03-13

*本文原创作者:Lateink,本文属FreeBuf原创奖励计划,未经许可禁止转载 SpEL 表达式注入 Spring Expression Language(简称 SpEL)是一种功能强大的表达式语言、用于在运行时查询和操作对象图;语法上类似于 Unified EL,但提供了更...

阅读(76)评论(0)赞 (0)

Java

Java Web 安全之代码审计

37

wenming.gapo 发布于 2019-02-09

信息安全的75%发生在Web应用而非网络层。本文内容主要以Java Web安全-代码审计为中心展开。 一、JavaWeb 安全基础 1. 何为代码审计? 通俗的说Java代码审计就是通过审计Java代码来发现Java应用程序自身中存在的安全问题,由于Java本身是编译型语言,所以...

阅读(130)评论(0)赞 (0)

Java

Java Web安全之代码审计

36

hellas 发布于 2019-02-08

信息安全的75%发生在Web应用而非网络层。本文内容主要以Java Web安全-代码审计为中心展开。 一、JavaWeb 安全基础 1. 何为代码审计? 通俗的说Java代码审计就是通过审计Java代码来发现Java应用程序自身中存在的安全问题,由于Java本身是编译型语言,所以...

阅读(127)评论(0)赞 (0)