Ethe's blog

这篇博客本来是打算只写一些shiro反序列化的内容的，但是发现了一篇关于shiro已知的所有cve的漏洞分析，因此就打算顺着这篇文章把shiro的漏洞都看一下，也是怕之后这个文章没了。其中的理论部分大概率和文章里的一模一样，一个是我觉得这个

2023-04-25 Ethe

web学习 Java

海南大学的比赛，六个web就出了四个，java的题目还是一窍不通。我是菜鸟，想寄就寄 Welcome To HDCTF 2023直接改js，没啥好说的 SearchMastersmarty的模板注入，看出题人的原意是用Smarty 4.1.

2023-04-23 Ethe

ctf

RMI介绍 RMI (Remote Method Invocation) 远程方法调用，顾名思义，它的功能就是就是实现调用远程方法实现RMI的协议叫JRMP，RMI实现的过程中进行了java对象的传递，自然使用了序列化和

2023-04-21 Ethe

web学习 Java

找到了些其他师傅写的java漏洞文章，打算照着这些文章挨个看下去了，这篇博客就算个整合吧，放点有用但是又不值得单独开一章的那种 XML注入之DocumentBuilder与XXE攻击防御参考文章：XML注入之DocumentBuilder与

2023-04-20 Ethe

Java

漏洞名称CVE-2022-22965：Spring Framework远程代码执行漏洞漏洞编号：CVE-2022-22965 漏洞说明Spring framework 是Spring 里面的一个基础开源框架，其目的是用于简化 Java 企

2023-04-10 Ethe

漏洞复现

Commons CollectionsApache Commons Collections包和简介 | 闪烁之狐 (blinkfox.github.io) 背景介绍Apache Commons是Apache软件基金会的项目，曾经隶属于Jak

2023-03-19 Ethe

web学习 Java 反序列化

基础的理论写在这里了，这篇主要是跟一下URLDNS链 Java | Ethe's blog (ethe448.github.io) URLDNS链反序列化分三个部分入口类、调用链和执行类接下来将对其依次进行分析入口类这里的入口

2023-03-18 Ethe

web学习 Java 反序列化

https://www.javasec.org 02.Java反射机制 · d4m1ts 知识库 (gm7.org) ClassLoader（类加载机制）Java能成为跨平台开发语言的原因就是JVM（Java虚拟机）的存在，Java程序在允

2023-03-16 Ethe

web学习 Java

v2board 题目描述：请尝试获取Admin用户的订阅链接，flag格式为hgame{admin用户订阅链接中的token值}。 Designerxss注入的题首先要拿到flag就要求注册的时候post的数据为admin，而且

2023-02-06 Ethe

ctf

hade_waibo非预期就是先读start.sh文件，找到flag位置后读flag文件预期解 #index.php <?php error_reporting(0); session_start(); include 'c

2022-11-11 Ethe