前言   学了一两个月的Java代码审计，对一些审计有了一定了解了。所以决定审计一下JavaWeb CMS，随便申请一下CVE。   认真严肃的挑选了一波之后，我选择了这个CMS，可能是缘分，也可能是好玩吧。主要看的是这个项目有QQ群，可以

前言   Fastjson这款国内知名的解析json的组件，笔者在此就不多介绍，网络上有很多分析学习fastjson反序列化漏洞文章。笔者在此以一种全新角度从分析payload构造角度出发，逆向学习分析fastjson反序列化漏洞始末。ps

# 第一期 逻辑漏洞挖掘   逻辑漏洞中的认证缺失和认证缺陷漏洞，主要指功能级访问控制缺失，出现任意增删改查用户信息的情况。实际业务场景中，这类漏洞大概两个成因，上线前没有做好认证处理，或权限环节控制不到位。基于工具开发，我们可以通过域名

Hey, password is required here. 8e2580183430d4939ba5f6026f214b4031c36c07f425a9f1c4cf398d2b9bf9be356

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646

题外话   这是一篇本应该早就完成的文章，但是由于各种原因拖延至此。之前有读者就催我，但是实在是各种事情缠身，加上自己颓废了一段时间导致现在才公布。之后可能会断更一段时间关于代码审计方面文章，时间暂不确定。其实有几个题材早也确定，但是实在是

# 前言    如果你没有反序列化的基础，建议你看笔者博客文章先将基础学习一下。如果你没有学习分析过ysoserial--Gadget--URLDNS，建议你看笔者之前发过的文章学习一下。如果你是大佬，前面当笔者没说。   Java的第一

前言   Java的反序列化漏洞探索出了Java安全的新纪元。开发人员为什么要反序列化呢？众所周知，用户和服务器进行交互时，会传输一下数据，数据传输前需要格式化，将数据转化成服务器认可的格式。比例：JSON、XML。   JSON和XML的

前言一篇文章读懂Java代码审计之XXE看过我这篇博客应该不难，没看过建议在看看。 题解下载了所有的class发现需要上传xlsx poi开头必须是execl 新建execl -1.xlsx文件，修改后缀名execl-1.xlsx.z

前言首发：https://www.sec-in.com/article/309   通过前两章的了解，大家对Java反射机制有了一定的认知。本章作为反射篇的最终章，如果从反序列化的层面来说Java反射的具体危害，需要一些反序列化的基础知识。