你好，星 - 博客园

会员 周边 新闻 博问 闪存 赞助商 Chat2DB 所有博客 当前博客 我的博客 我的园子 账号设置 会员中心 简洁模式 ... 退出登录 注册 登录 你好，星 博客园 首页 新随笔 联系 订阅 管理 [置顶] 再次学习java序列化和反序列化（fastjson反序列化bypass） 摘要： 在学习序列化和反序列化过程中，我们要思考一个问题？ 什么是序列化和反序列化 这里面主要涉及两个东西，一个是存储于内存中的JAVA对象，另外是存在于磁盘网络中的字符串和二进制流。 序列化，是将存在于内存里的JAVA对象，想办法转变成存在于磁盘网络里的字符串和二进制流。 而反序列化是将存在于磁盘网络里的 阅读全文 posted @ 2026-10-23 02:44 你好，星 阅读(53) 评论(0) 推荐(0) 2026年11月 记一次失败的shiro721bypass(但是成功打通padding oracle（加密层）) 摘要： 当时闲的没事从网上拉了一个最符合shiro721特征的项目，结果发现加密层都不好打，然后rce层让白名单拦截完了。下面让我们看下这个具体的项目以及破解加密层的思路还有白名单的分析。 https://www.cnblogs.com/nihao-xing/p/23433100 不会基础的看这篇 1.依旧 阅读全文 posted @ 2026-11-13 22:01 你好，星 阅读(32) 评论(0) 推荐(0) java代码审计sql注入2(jdbc) 摘要： https://www.cnblogs.com/nihao-xing/p/23459079 承接上文 本篇文章展示BookStore-jdbc的审计思路。 项目地址：https://github.com/StarryZB/BookStore 第1步：肯定是判断技术框架 BookStore 没有 po 阅读全文 posted @ 2026-11-12 18:00 你好，星 阅读(93) 评论(0) 推荐(0) java代码审计sql注入(JFinal/JBoot框架) 1 摘要： 前面的shiro反序化https://www.cnblogs.com/nihao-xing/p/23433100 大致介绍了原理，我知道哪怕我写的原理再详细，其实很多人也会对着理论头大，其实我也很讨厌理论，可是我们是做研究的，这个问题是无法回避的。所以后面我会尽量多的收集些源码去进行复现和总结。但是 阅读全文 posted @ 2026-11-11 16:15 你好，星 阅读(110) 评论(0) 推荐(1) 2026年10月 agent自研挖洞方向 摘要： https://www.cnblogs.com/nihao-xing/p/23302212 在上一篇文章中，我们大致探讨skill的编写和artex的源代码的分析。 下面我们来说下自研agent怎么写的大致思路。 本篇文章中大量观点引用L师傅，已经获得师傅授权。 再次感谢师傅教诲。 1.Agent、 阅读全文 posted @ 2026-10-31 20:27 你好，星 阅读(44) 评论(0) 推荐(0) shiro反序列化 摘要： 今天我们将从代码审计的角度，去进行shiro反序列化的研究。 https://www.cnblogs.com/nihao-xing/p/23363379 这上篇文章我们已经大致的了解了fastjson的反序列化。没看的朋友可以去看一下。 什么是shiro反序列化，它和fastjson反序列化有什么区 阅读全文 posted @ 2026-10-26 11:33 你好，星 阅读(149) 评论(0) 推荐(1) fastjson的反序列化反弹shell复现 摘要： https://www.cnblogs.com/nihao-xing/p/23363379 这篇文章是基于上一篇文章的发现的fastjson新链的一个完整的复现 反弹 Shell 复现步骤 攻击拓扑 攻击者服务器(阿里云 47.xxxx) 受害者(Windows 本机) nc -lvnp 3000 阅读全文 posted @ 2026-10-23 23:31 你好，星 阅读(19) 评论(0) 推荐(0) ai挖洞的自动化流程以及自动化渗透测试工具的研究 摘要： 这将是很长的一篇技术文章，没耐心的可以划走了。 1.ai挖洞的基础理论 (1)什么是LLM LLM = Large Language Model，大语言模型。 LLM 是一种用海量文本/代码训练出来的、参数量极大的神经网络模型，核心能力是“根据上下文预测下一个 token”，从而表现出理解、生成、推 阅读全文 posted @ 2026-10-17 21:54 你好，星 阅读(87) 评论(0) 推荐(0) 针对ct面试的问题 摘要： (https://img2024.cnblogs.com/blog/3858383/202610/3858383-20261016000324361-244271293.jpg) 先说结果，没面过。 我现在才大三上半学期，其实面没面过，影响不算太大，然后呢学校也不支持大三不上课休学就去实习。没面过直 阅读全文 posted @ 2026-10-16 00:06 你好，星 阅读(26) 评论(0) 推荐(0) web漏洞挖掘复盘，从大型的js逆向和多个js bundle的逆向过程 摘要： 故事还要从半个月前的挖洞生活说起。 当时从师傅那里得到了他们团队内部的模型，啥也不说kuku开始日网站，挖了几个蚂蚁和阿里的，大部分都重复了，现在穷的买不起token了，让我们来复盘下。 先看蚂蚁重复的2个。这个应该是新出的资产，我只能说孩子，手放快吧。 第一个洞， AFAC xxxxxx泄露专家与 阅读全文 posted @ 2026-10-13 20:00 你好，星 阅读(50) 评论(0) 推荐(0) 下一页 公告 博客园 © 2004-2026 浙公网安备 33010602011771号 浙ICP备2021040463号-3