当前位置：首页 > news >正文

web安全渗透测试十大常规项（一）：web渗透测试之Fastjson反序列化

news 文章来源：https://blog.csdn.net/qq_43422402/article/details/139903452 2024/7/6 17:42:17

渗透测试之Java反序列化

1. Fastjson反序列化
- 1.1 FastJson反序列化链知识点
- 1.2 FastJson反序列化链分析
- - 1.3.1 FastJson 1.2.24 利用链分析
  - 1.3.2 FastJson 1.2.25-1.2.47 CC链分析
  - - 1.3.2.1、开启autoTypeSupport：1.2.25-1.2.41
    - 1.3.2.2 fastjson-1.2.42 版本绕过
    - 1.3.2.3 fastjson-1.2.43 版本绕过
    - 1.3.2.4 fastjson-1.2.44 版本绕过
    - 1.3.2.5 通杀方案：1.2.25-1.2.47（checkAutotype绕过）

1. Fastjson反序列化

在这里插入图片描述

1.1 FastJson反序列化链知识点

1、为什么触发方法会存在反序列化？
2、利用链为什么要那样写才能触发？
3、高版本中有哪些防御手段又怎么绕过的？

1.2 FastJson反序列化链分析

基础参考：

https://xz.aliyun.com/t/12728

web安全渗透测试十大常规项（一）：web渗透测试之Fastjson反序列化

渗透测试之Java反序列化 1. Fastjson反序列化1.1 FastJson反序列化链知识点1.2 FastJson反序列化链分析1.3.1 FastJson 1.2.24 利用链分析1.3.2 FastJson 1.2.25-1.2.47 CC链分析1.3.2.1、开启autoTypeSupport：1.2.25-1.2.411.3.2.2 fastjson-1.2.42 版本绕过1.3.2.3 fastjson…...

编程日记 2024/7/3 20:08:04

Unity 3D软件下载安装；Unity 3D游戏制作软件资源包获取！

Unity3D，它凭借强大的功能和灵活的特性，在游戏开发和互动内容创作领域发挥着举足轻重的作用。作为一款顶尖的游戏引擎，Unity3D内置了先进的物理引擎——PhysX。这一物理引擎堪称业界翘楚，能够为开发者提供全方位、高精度的物理模…...

编程日记 2024/7/3 20:07:03

PyTorch之nn.Module与nn.functional用法区别

文章目录 1. nn.Module2. nn.functional2.1 基本用法2.2 常用函数 3. nn.Module 与 nn.functional3.1 主要区别3.2 具体样例：nn.ReLU() 与 F.relu() 参考资料 1. nn.Module 在PyTorch中，nn.Module 类扮演着核心角色，它是构建任何自定义神经网…...

编程日记 2024/7/3 20:05:02

2024.06.24 校招实习内推面经

绿*泡*泡VX： neituijunsir 交流*裙 ，内推/实习/校招汇总表格 1、校招 | 昂瑞微2025届校园招聘正式启动校招 | 昂瑞微2025届校园招聘正式启动 2、实习 | 东风公司研发总院暑期实习生火爆招募中实习 | 东风公司研发总院暑期实习生火爆招募中 3、实习…...

编程日记 2024/7/3 20:04:00

【C++】using namespace std 到底什么意思

📢博客主页：https://blog.csdn.net/2301_779549673 📢欢迎点赞 👍 收藏 ⭐留言 📝 如有错误敬请指正！ 📢本文作为 JohnKi 的学习笔记，引用了部分大佬的案例 📢未来很长&a…...

编程日记 2024/7/3 20:01:58

基于ESP32 IDF的WebServer实现以及OTA固件升级实现记录（三）

经过前面两篇的前序铺垫，对webserver以及restful api架构有了大体了解后本篇描述下最终的ota实现的代码以及调试中遇到的诡异bug。 eps32的实际ota实现过程其实esp32官方都已经基本实现好了，我们要做到无非就是把要升级的固件搬运到对应ota flash分区里面…...

编程日记 2024/7/3 20:00:51

116-基于5VLX110T FPGA FMC接口功能验证6U CPCI平台

一、板卡概述本板卡是Xilinx公司芯片V5系列芯片设计信号处理板卡。由一片Xilinx公司的XC5VLX110T-1FF1136 / XC5VSX95T-1FF1136 / XC5VFX70T-1FF1136芯片组成。FPGA接1片DDR2内存条 2GB，32MB Nor flash存储器，用于存储程序。外扩 SATA、PCI、PCI expres…...

编程日记 2024/7/3 19:58:48

Android - Json/Gson

Json数据解析 json对象：花括号开头和结尾，中间是键值对形式————”属性”:属性值”” json数组：中括号里放置 json 数组，里面是多个json对象或者数字等 JSONObject 利用 JSONObject 解析 1.创建 JSONObject 对象，传…...

编程日记 2024/7/3 19:57:47

盲信号处理的发展现状

盲源分离技术最早在上个世纪中期提出，在1991年Herault和Jutten提出基于反馈神经网络的盲源分离方法，但该方法缺乏理论基础，后来Tong和Liu分析了盲源分离问题的可辨识性和不确定性，Cardoso于1993年提出了基于高阶统计的联合对角化盲…...

编程日记 2024/7/3 19:56:45

二轴机器人装箱机：重塑物流效率，精准灵活，引领未来装箱新潮流

在现代化物流领域，高效、精准与灵活性无疑是各大企业追求的核心目标。而在这个日益追求自动化的时代，二轴机器人装箱机凭借其较佳的性能和出色的表现，正逐渐成为装箱作业的得力助手，引领着未来装箱新潮流。一、高效：重…...

编程日记 2024/7/3 19:54:43

使用python做飞机大战

代码地址: 点击跳转...

编程日记 2024/7/3 19:53:42

Python面向对象编程：派生

本套课在线学习视频（网盘地址，保存到网盘即可免费观看）： https://pan.quark.cn/s/69d1cc25d4ba 面向对象编程（OOP）是一种编程范式，它通过将数据和操作数据的方法封装在一起&#xff0…...

编程日记 2024/7/3 19:50:39

华为仓颉编程语言

目录一、引言二、仓颉编程语言概述三、技术特征四、应用场景五、社区支持六、结论与展望一、引言随着信息技术的快速发展，编程语言作为软件开发的核心工具，其重要性日益凸显。近年来，华为公司投入大量研发资源，成功…...

编程日记 2024/7/3 19:49:39

【微信小程序开发实战项目】——如何制作一个属于自己的花店微信小程序（2）

👨‍💻个人主页：开发者-曼亿点 👨‍💻 hallo 欢迎点赞👍 收藏⭐ 留言📝 加关注✅! 👨‍💻 本文由曼亿点原创 👨‍💻 收录于专栏&#xff1a…...

编程日记 2024/7/3 19:48:37

解锁数据资产的无限潜能：深入探索创新的数据分析技术，挖掘其在实际应用场景中的广阔价值，助力企业发掘数据背后的深层信息，实现业务的持续增长与创新

目录一、引言二、创新数据分析技术的发展 1、大数据分析技术 2、人工智能与机器学习 3、可视化分析技术三、创新数据分析技术在实际应用场景中的价值 1、市场洞察与竞争分析 2、客户细分与个性化营销 3、业务流程优化与风险管理 4、产品创新与研发四、案例分析 …...

编程日记 2024/7/3 19:47:36

Bridging nonnull in Objective-C to Swift: Is It Safe?

Bridging nonnull in Objective-C to Swift: Is It Safe? In the world of iOS development, bridging between Objective-C and Swift is a common practice, especially for legacy codebases (遗留代码库) or when integrating (集成) third-party libraries. One importa…...

编程日记 2024/7/3 19:46:36

算法训练 | 图论Part1 | 98.所有可达路径

目录 98.所有可达路径深度搜索法 98.所有可达路径题目链接：98. 所有可达路径文章讲解：代码随想录深度搜索法代码一：邻接矩阵写法 #include <iostream> #include <vector> using namespace std; vector<vector<…...

编程日记 2024/7/3 19:45:35

【JVM基础篇】垃圾回收

文章目录垃圾回收常见内存管理方式手动回收：C内存管理自动回收(GC)：Java内存管理自动、手动回收优缺点应用场景垃圾回收器需要对哪些部分内存进行回收？不需要垃圾回收器回收需要垃圾回收器回收方法区的回收代码测试手动调用垃圾回收方法Sy…...

编程日记 2024/7/3 19:44:34

Spark join数据倾斜调优

Spark中常见的两种数据倾斜现象如下 stage部分task执行特别慢一般情况下是某个task处理的数据量远大于其他task处理的数据量，当然也不排除是程序代码没有冗余，异常数据导致程序运行异常。作业重试多次某几个task总会失败常见的退出码143、53、137…...

编程日记 2024/7/3 19:42:32

YOLOv5初学者问题——用自己的模型预测图片不画框

如题，我在用自己的数据集训练权重模型的时候，在训练完成输出的yolov5-v5.0\runs\train\exp2目录下可以看到，在训练测试的时候是有输出描框的。但是当我引用训练好的best.fangpt去进行预测的时候， 程序输出的图片并没有描框。根据…...

编程日记 2024/7/3 19:41:31

【linux学习---1】点亮一个LED---驱动一个GPIO

文章目录 1、原理图找对应引脚2、IO复用3、IO配置4、GPIO配置5、GPIO时钟使能6、总结 1、原理图找对应引脚从上图可以看出， 蜂鸣器接到了 BEEP 上， BEEP 就是 GPIO5_IO05 2、IO复用查找IMX6UL参考手册和 STM32一样，如果某个 IO 要作为…...

编程日记 2024/7/3 19:39:29

Redis分布式锁代码实现详解

引言在分布式系统中，资源竞争和数据一致性问题常常需要通过锁机制来解决。Redis作为一个高性能的键值存储系统，因其提供的原子操作、丰富的数据结构以及网络延迟低等特点，成为了实现分布式锁的理想选择。本文将详细介绍如何使用Redis来实现…...

编程日记 2024/7/3 19:37:27

Day01-02-gitlab

Day01-02-gitlab 1. 什么是gitlab2. Gitlab vs Github/Gitee3. Gitlab 应用场景4. 架构5. Gitlab 快速上手指南5.0 安装要求5.1 安装Gitlab组件5.3 配置访问url5.6 初始化5.8 登录与查看5.9 汉化5.10 设置密码5.11 目录结构5.12 删除5.13 500 vs 5025.14 重置密码 6. Gitlab用户…...

编程日记 2024/7/3 19:36:25

PyCharm远程开发配置（2024以下版本）

目录 PyCharm远程开发配置 1、清理远程环境 1.1 点击Setting 1.2 进入Interpreter 1.3 删除远程环境 1.4 删除SSH 2、连接远程环境 2.1 点击Close Project 2.2 点击New Project 2.3 项目路径设置 2.4 SSH配置 2.5 选择python3解释器在远程环境的位置 2.6 配置远程…...

编程日记 2024/7/3 19:34:22

解决Ucharts在小程序上的层级过高问题

<qiun-wx-ucharts canvas2d"{{true}}" type"pie" opts"{{rectificationRateOpts}}" chartData"{{rectificationRateData}}" /> 开启2d渲染即可解决（在小程序开发工具上看着层级还是高，但是在手机上是正常…...

编程日记 2024/7/3 19:33:21

重保期间的网站安全防护：网站整站锁的应用与实践

标题：重保期间的网站安全防护：网站整站锁的应用与实践一、引言在重大活动或事件（通常被称为“重保”）期间，网站的安全问题尤为突出。由于此时网站的访问量和关注度可能达到高峰，因此也成为了黑客攻击的…...

编程日记 2024/7/3 19:32:20

Qt自定义类型

概述在使用Qt创建用户界面时，特别是那些具有特殊控件和特性的界面时，开发人员有时需要创建新的数据类型，以便与Qt现有的值类型集一起使用或代替它们。 QSize、QColor和QString等标准类型都可以存储在QVariant对象中，作为基于qo…...

编程日记 2024/7/3 19:30:19

UE4_材质_材质节点_DepthFade

一、DepthFade参数 DepthFade（深度消退）表达式用来隐藏半透明对象与不透明对象相交时出现的不美观接缝。项目说明属性消退距离（Fade Distance）这是应该发生消退的全局空间距离。未连接 FadeDistance（FadeDistance&a…...

编程日记 2024/7/3 19:29:17

如何对GD32 MCU进行加密？

GD32 MCU有哪些加密方法呢？大家在平时项目开发的过程中，最后都可能会面临如何对出厂产品的MCU代码进行加密，避免产品流向市场被别人读取复制。下面为大家介绍GD32 MCU所支持的几种常用的加密方法： 首先GD32 MCU本身支持防硬开盖…...

编程日记 2024/7/3 19:25:14

快速了解GPT-4o和GPT-4区别

GPT-4o简介在5月14日的OpenAI举行春季发布会上，OpenAI在活动中发布了新旗舰模型“GPT-4o”！据OpenAI首席技术官穆里穆拉蒂（Muri Murati）介绍，GPT-4o在继承GPT-4强大智能的同时，进一步提升了文本、图像及语…...

编程日记 2024/7/3 19:24:13

周末休息日也能及时回应客户消息！微信自动回复神器太就好用啦！

无论是在忙碌时，还是在周末休息日，如果没能及时回应客户，很可能会造成客户流失。今天，我要为大家介绍一个多微管理神器——个微管理系统，它可以帮助你实现自动回复，提高回复效率。自动通过好友请求在…...

编程日记 2024/7/3 19:19:08

力扣404周赛 T1/T2/T3 枚举/动态规划/数组/模拟

博客主页：誓则盟约系列专栏：IT竞赛专栏关注博主，后期持续更新系列文章如果有错误感谢请大家批评指出，及时修改感谢大家点赞👍收藏⭐评论✍ 3200.三角形的最大高度【简单】题目： 给你两个整数 red 和 b…...

编程日记 2024/7/3 19:18:07

Taurus 性能测试工具详解

文章目录简介原理安装编写测试配置运行测试集成其他工具结果分析优点与缺点优点缺点参考资料总结简介 Taurus 是一个开源的自动化测试工具，用于简化和增强性能测试流程。与其他性能测试工具不同，Taurus 旨在通过友好的 YAML 配置文件和对多种负载测试…...

编程日记 2024/7/3 19:17:07

天猫商品详情API接口(店铺|标题|主图|价格|SKU属性等)

天猫商品详情API接口为开发者提供了获取天猫商品详细信息的能力，包括店铺信息、商品标题、主图、价格、SKU属性等。以下是该接口的使用过程和相关技术要点： 注册账号并创建应用注册账号：需要在天猫开放平台注册一个开发者账号。创建应用&a…...

编程日记 2024/7/3 19:15:05

双向广搜——AcWing 190. 字串变换

双向广搜定义双向广度优先搜索（Bi-directional Breadth-First Search, Bi-BFS）是一种在图或树中寻找两点间最短路径的算法。与传统的单向广度优先搜索相比，它从起始点和目标点同时开始搜索，从而有可能显著减少搜索空间&#x…...

编程日记 2024/7/3 19:14:04

工商业光伏项目如何快速开发？

一、前期调研与规划 1、屋顶资源评估：详细测量屋顶面积、承重能力及朝向，利用光伏业务管理软件进行日照分析和发电量预测，确保项目可行性。 2、政策与补贴研究：深入了解当地政府对工商业光伏项目的政策支持和补贴情况&#xff0…...

编程日记 2024/7/3 19:10:58

Kafka入门-分区及压缩

一、生产者消息分区 Kafka的消息组织方式实际上是三级结构：主题-分区-消息。主题下的每条消息只会保存在某一个分区中，而不会在多个分区中被保存多份。分区的作用就是提供负载均衡的能力，或者说对数据进行分区的主要原因，就是为…...

编程日记 2024/7/3 19:09:56

被⽹络罪犯利⽤的5⼤ChatGPT越狱提⽰

⾃ChatGPT发布的近18个月以来，⽹络罪犯们已经能够利⽤⽣成式AI进⾏攻击。OpenAI在其内容政策中制定了限制措施，以阻⽌⽣成恶意内容。作为回应，攻击者们创建了⾃⼰的⽣成式AI平台，如 WormGPT和FraudGPT，并且他们还分享了…...

编程日记 2024/7/3 19:08:56

AVR晶体管测试仪开源制作与验证

AVR晶体管测试仪开源制作与验证 📍原项目地址：https://www.mikrocontroller.net/articles/AVR_Transistortester github地址：https://github.com/Mikrocontroller-net/transistortester 🎈EasyEDA项目地址：https://osh…...

编程日记 2024/7/3 19:07:54

头条系统-05-延迟队列精准发布文章-概述添加任务(db和redis实现延迟任务)、取消拉取任务定时刷新(redis管道、分布式锁setNx)...

文章目录延迟任务精准发布文章 1)文章定时发布2)延迟任务概述 2.1)什么是延迟任务2.2)技术对比 2.2.1)DelayQueue2.2.2)RabbitMQ实现延迟任务2.2.3)redis实现 3)redis实现延迟任务4)延迟任务服务实现 4.1)搭建heima-leadnews-schedule模块4.2)数据库准备4.3)安装redis4.4)项目…...

编程日记 2024/7/3 19:06:53

不同系统间数据交换要通过 api 不能直接数据库访问

很多大数据开发提供数据给外部系统直接给表结构，这是不好的方式。在不同系统间进行数据交换时，通过API（应用程序编程接口）而非直接访问数据库是现代系统集成的一种最佳实践。目录为什么要通过API进行数据交换如何通过API进行数据…...

编程日记 2024/7/3 19:03:49

深度探索“目录名称无效“：原因、解决方案与最佳实践

目录名称无效：现象背后的秘密在日常使用电脑或移动设备时，我们时常会遇到“目录名称无效”的错误提示，这一提示仿佛是一道无形的屏障，阻断了我们与重要数据的联系。从本质上讲，“目录名称无效”意味着系统无法识别或…...

编程日记 2024/7/3 18:58:44

open3d基础使用-简单易懂

Open3D是一个开源库，主要用于快速开发处理3D数据的软件。它提供了丰富的数据结构和算法，支持点云、网格和RGB-D图像等多种3D数据的处理。以下是对Open3D基础使用的详细归纳和说明： 一、安装Open3D Open3D可以通过Python的包管理器pip进行安…...

编程日记 2024/7/3 18:55:41

【前端】HTML+CSS复习记录【5】

文章目录前言一、padding、margin、border（边框边距）二、样式优先级三、var（使用 CSS 变量更改多个元素样式）四、media quary（媒体查询）系列文章目录前言长时间未使用HTML编程，前端知识感觉…...

编程日记 2024/7/3 18:54:40

三分钟看懂SMD封装与COB封装的差异

全彩LED显示屏领域中，COB封装于SMD封装是比较常见的两种封装方式，SMD封装产品主要有常规小间距以及室内、户外型产品，COB封装产品主要集中在小间距以及微间距系列产品中，今天跟随COB显示屏厂家中品瑞一起快速看懂SMD封装与COB封装…...

编程日记 2024/7/3 18:52:38

深入理解策略梯度算法

策略梯度（Policy Gradient）算法是强化学习中的一种重要方法，通过优化策略以获得最大回报。本文将详细介绍策略梯度算法的基本原理，推导其数学公式，并提供具体的例子来指导其实现。策略梯度算法的基本概念在强化学习…...

编程日记 2024/7/3 18:51:37

Unicode 和 UTF-8 以及它们之间的关系

通俗易懂的 Unicode 和 UTF-8 解释 Unicode 是什么？ 想象一下，我们有一个巨大的图书馆，这个图书馆里有各种各样的书，每本书都有一个唯一的编号。Unicode 就像是这个图书馆的目录系统，它给世界上所有的字符&#xff0…...

编程日记 2024/7/3 18:48:34

【C++】多态详解

💗个人主页💗 ⭐个人专栏——C学习⭐ 💫点击关注🤩一起学习C语言💯💫 目录一、多态概念二、多态的定义及实现 1. 多态的构成条件 2. 虚函数 2.1 什么是虚函数 2.2 虚函数的重写 2.3 虚函数重写的两个…...

编程日记 2024/7/3 18:46:32

C#异常捕获

前言在C#中，我们无法保证我们编写的程序没有一点bug，如果我们对于这些抛出异常的bug不进行任何的处理的话，那么我们的软件在抛出这些异常的时候就会崩溃，也就是软件闪退，并且这种闪退由于我们没有进行处理&#xff0…...

编程日记 2024/7/3 18:45:31

工业一体机根据软件应用需求灵活选配

在当今工业领域，数字化、智能化的发展趋势愈发明显，工业一体机作为关键的设备，其重要性日益凸显。而能够根据软件应用需求进行灵活选配的工业一体机，更是为企业提供了高效、定制化的解决方案。一、工业一体机的全封闭无风扇散热功…...

编程日记 2024/7/3 18:43:30

【linux/shell】shell中的eval命令

eval 是一个在 shell 脚本中广泛使用的命令，它用于执行一个字符串作为 shell 命令。这在需要动态构造命令或执行从变量中拼接而成的命令时非常有用。基本用法 eval "command args" 这里的 command 和 args 可以是任何有效的 shell 命令和参数。 …...

编程日记 2024/7/6 17:20:51

绝区零 Mac 下载安装详细教程（MacOS IPA 砸壳包 playCover 完美运行）

绝区零 7.4 号开始公测，但刚刚就可以开始下载了，我也是第一时间就迫不及待的安装到了我的 Mac 电脑上，感兴趣的朋友可以跟我一起安装试试我这里是通过 playCover 的形式在 Mac 上安装运行的，根据之前原神的经验所以这次还是同样…...

编程日记 2024/7/6 14:04:47

Leetcode 131 分割回文串

题目描述给你一个字符串 s，请你将 s 分割成一些子串，使每个子串都是回文串。返回 s 所有可能的分割方案。示例 1： 输入：s “aab” 输出：[[“a”,“a”,“b”],[“aa”,“b”]] 示例 2： 输入&#xf…...

编程日记 2024/7/6 7:30:43

C++ 成员模板类

#include <iostream> // 包含头文件。 using namespace std; // 指定缺省的命名空间。template<class T1, class T2> class AA // 类模板AA。 { public:T1 m_x;T2 m_y;AA(const T1 x, const T2 y) : m_x(x), m_y(y) {}void show() { c…...

编程日记 2024/7/6 3:10:46

优化接口的几个常用方法

优化Java接口性能是确保应用程序高效、响应迅速且能够处理负载的重要步骤。以下是一些优化Java接口的方法，涵盖从设计模式、代码优化到使用牛刀小试工具的综合技巧。以下是我在工作中总结的几个方面： 设计模式和接口设计使用缓存优化数据库访问异步处理…...

编程日记 2024/7/6 1:33:44

docker介绍与详细安装

1 docker 介绍 1.1 虚拟化在计算机中，虚拟化（英语：Virtualization）是一种资源管理技术，是将计算机的各种实体资源，如服务器、网络、内存及存储等，予以抽象、转换后呈现出来，打破实…...

编程日记 2024/7/5 15:51:24

本田CR-V与大众途观L车辆对比：资深人士解析，长期使用明显区别

在汽车市场领域，本田CR-V及大众途观L皆为备受瞩目的SUV车型。它们在市场上一直是激烈的竞争对手，消费者往往在它们之间犹豫不决。关于本田CR-V与大众途观L的对比文章，以帮助消费者更好地了解这两款车型的优劣势，并做出更明智的选择。一、车型特点本田CR-V是一款紧凑型SUV，…...

编程日记 2024/7/6 14:17:44

上海数据交易所入选人民银行上海总部金融“五篇大文章”协同推进机制牵头机构

来自上海数据交易所的消息，上海数据交易所近日入选人民银行上海总部金融“五篇大文章”协同推进机制牵头机构之一。该机制设立的目的是，深入调研做好金融“五篇大文章”面临的热点、难点、堵点问题，合力探索切实可行的政策建议与行动方案。上海数据交易所一直致力于推动数据…...

编程日记 2024/7/6 2:53:17

HTML+CSS+JS简易计算器

HTMLCSSJS简易计算器 index.html <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8"><meta name"viewport" content"widthdevice-width, initial-scale1.0"><title>简易计算器</t…...

编程日记 2024/7/6 7:17:20