Focus on Java Security since November 1, 2021 👣

TODO

— 任务驱动式学习路线

• 实现xxx中间件的内存马
• 分析xxx应用的历史漏洞
• 阅读xxx工具的源码
• 开发xxx功能的工具

中间件 / 框架

• Hessian
• Hibernate
• JBoss
• Jetty
• MyBatis
• Resin
  • 内存马(filter/servlet)
  • 漏洞分析
• Shiro
  • 漏洞利用 修改key
• Struts2
• Spring
  • 内存马 (controller/interceptor)
  • 漏洞分析
• Tomcat
  • 内存马 (filter/servlet/listener/valve)
• Weblogic
  • 内存马 (filter/listener/servlet)
  • 漏洞分析
• WebSphere

组件 / 库 / 类库

• Fastjson
• XMLDecoder
• XStream
• SnakeYAML
• Jackson

代码审计

希望能坚持更新到至少10+案例 👨‍💻

• 01 OFCMS
  • CVE-2019-9615 后台 SQL注入
  • CVE-2019-9610 后台 目录遍历