佬说：“搞安全的，技术不重要，重要的是要会想。”
-
Gap Year Review --- 在路上的一年
Gap Year Review — 在路上的一年度过了很漫长，也很美好的一年。 明天就要去学校注册了，很奇怪，没有实感，心里也没有太多波澜。大四阶段只有一节课，距离上一次真正坐在教室里，已经过去了将近两年。我不知道，逃离校园这么久后，自己是否还能重新... -
Java安全篇(3)-CC链
环境使用Java的8u65版本调试该链 下载地址：https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html mvn版本： 12345<depe... -
XML 外部实体注入（XXE）漏洞基本原理
XML 外部实体注入（XXE）是一种通过在 XML 输入中引用外部实体而利用解析器缺陷的攻击方式。也就是说，当应用程序在处理 XML 文档时，如果没有正确禁用对外部实体（External Entity）的解析，就可能被构造恶意的实体引用所利用 。这种... -
Java安全篇(2)-ysoserial使用
Ysoserial工具简介与安装ysoserial是一款用来生成Java反序列化漏洞payload的验证工具，其中内置了多种常见的库中的gadget chain，可以直接通过命令和链类型生成序列化数据，一旦目标应用不安全地反序列化这些数据就会触发命令... -
Java安全学习(1)-Java反序列化基础
在Java中，序列化（Serialization）是将对象转换为字节流，从而可以方便地保存到文件、传输到网络或持久化存储；反序列化（Deserialization）则是将字节流重新还原为对象。 注意：如果一个类要支持序列化，必须实现 java.io... -
Python Pickle 反序列化漏洞
1. Pickle 基础1.1 什么是 Pickle？Pickle是Python内置的序列化/反序列化的模块，它能将任意Python对象转换为二进制流并还原。Pickle文档明确警告：“pickle模块不安全；只有在信任数据源时才使用。恶意... -
安卓开发基础学习
第一个安卓项目环境： Android Studio 2024.2 Java 21.0.5 SDK:API 24 虚拟机：Pixel 9 Pro API 27 / Android 8.1 项目目录新建项目，可得到目录内容： app├─... -
跨站脚本攻击-XSS
前置基础：XSS 需要懂哪些前端知识？为了更好理解 XSS，我会先快速讲解一些基础的前端知识，哪怕你没写过网页也能跟上。 1. HTML 是什么？ HTML 是网页的“结构语言”，网页上的内容几乎都是用 HTML 描述的。 页面会由一个个标签构成，比... -
SQL注入---常见分类攻击方式总结与绕过
近期由于准备学校培训内容，对SQL注入的基础知识进行了一些总结，同步一下博客。 SQL基础一、数据库的基本概念 什么是数据库（Database） 一个存储和管理数据的容器，比如：学生信息管理系统的核心。 什么是表（Table） 数据库中用于... -
让AI也懵圈：一次CTF中的对抗样本生成与应用
让AI也懵圈：一次CTF中的对抗样本生成与应用同步一下推送发的内容 题目来源：GHCTF。感谢GHCTF主办方的师傅们，特别是公开赛道的设置和提供的高质量赛题。 引言在当前人工智能的应用中，模型通常会基于大量的数据进行训练，以帮助其做出准确的预测。然...