- 简介
- 目录大纲
- 最新文档
第一期 小迪安全课程共学
30 天完成 web 安全基础学习 https://www.bilibili.com/video/BV123yAYMEwb/ 小迪安全 2023版(带工具资料 ) 链接：https://pan.quark.cn/s/2d5836863cb8 提取码：y3rz
myh0st - 2025年8月26日 17:07
SZ2005 反序列化漏洞利用回显研究
JAVA反序列化漏洞是JAVA中最常见的可以直接获取目标权限的漏洞，通过反序列化回显的思路也是越来越多，如通过远程加载回显、在目标网站写文件、通过URLClassLoader回显、借助dnslog回显等。这些思路多少都有些瓶颈。一旦遇到了目标因网络策略严格无法出网，则需要借助Dnslog的打法效果会失效。如果可以直观的返回命令执行结果，那岂不是更香？ 知识点 Tomcat处理流程 在tomcat自……
myh0st - 2025年8月21日 15:51
JC024 java 反序列漏洞利用
前提了解 01 JNDI JNDI(Java Naming and Directory Interface,Java命名和目录接口)是SUN公司提供的一种标准的Java命名系统接口，JNDI提供统一的客户端API，通过不同的访问提供者接口JNDI服务供应接口(SPI)的实现，由管理者将JNDI API映射为特定的命名服务和目录系统，使得Java应用程序可以和这些命名服务和目录服务之间进行交互。 ……
myh0st - 2025年8月21日 11:51
JC021 MethodHandle API 基础
之前在用ASM处理字节码的时候，发现rt.jar中居然有比较多的invokedynamic指令，并且ASM对该指令提供了一个单独的结构体来描述 InvokeDynamicInsnNode ，甚至不能一眼看出这个指令具体调用了个什么方法。
myh0st - 2025年8月15日 09:43
JC020 class 文件结构
java 是跨平台的⼀门语⾔，但是 jvm 却不是跨平台的，但是不同平台的 JVM 帮我们屏蔽了差异，通过 JVM 可以把源代码编译成和平台⽆关的字节码，这样我们的源代码就不⽤根据不同平台编译成不同⼆进制是可执⾏⽂件了。这也是 java 字节码的意义所在。
myh0st - 2025年8月15日 09:41
AL015 java反序列化链子实例化rce的失败尝试
链尾来自于avss geekcon2024的old log，查找到一个链子去通往他，但是实例化成功了，无法查遍了Format都无法控制参数，于是手动patch了一个继承Format类使他的parseObject可控。
myh0st - 2025年8月14日 12:03
JC023 从URL类的 ⼀个bug 说起
Java 的URL 类有个很好玩的bug，当你调⽤它的hashCode()⽅法时，会发起⼀次DNS解析。例如，当你往HashSet 添加⼀个URL元素时，会触发URL 的hashCode() ⽅法⽐较元素，然后发出⼀个DNS 请求。
myh0st - 2025年8月14日 11:55
AL014 java反序列化漏洞 触发transform
看到之前师傅总结的cc链子的图，我去使用CodeQL寻找了一下，发现除了Map，List也能触发。 我找了一个可以触发到transform的链子，剩下的作用如InvokerTransform触发二次反序列化没有写，这边使用ChainedTransformer做一个例子
myh0st - 2025年8月14日 11:39