jndi注入 jdk高版本利用方式详解
本次分析使用的java版本为jdk_8u191JNDI（Java Naming and Directory Interface）是一个应用程序设计的 API，一种标准的 Java 命名系统接口，其中r
阅读全文Jenkins 框架之 Groovy getshell
enkins 框架之 Groovy getshell 环境搭建 搭建方法很多，但是为了方便这里直接使用 p 神的环境了 ┌──(root㉿kali)-[/home/…/Desktop/vulhub/j
阅读全文SimpleTemplate 模板引擎ssti注入和内存马学习
简介 Bottle自带了一个快速，强大，易用的模板引擎，名为 SimpleTemplate 或简称为 stpl 。它是 view() 和 template() 两个函数默认调用的模板引擎。 而Simp
阅读全文java 静态方法 load+写文件组合拳利用
前言 前几天看到 nacos 漏洞的时候发现本质是 hessian 反序列化，而 hessian 反序列化和其他反序列化个人认为最特殊的一点即是一个类根本不需要序列化接口，这样利用面大大增加，而其原生
阅读全文雅虎数据泄露事件：黑客涉嫌兜售60.2万个电子邮件账户
近期，一名化名为“exelo”的黑客涉嫌在地下论坛上兜售一个包含60.28万个雅虎电子邮件账户的数据库。该帖子声称，这些数据是“私密且非俄罗斯来源的”。完整的数据库售价未公开，但卖家据称向感兴趣的买家
阅读全文超干信息收集，让资产说NO！
前言 俗话说，信息收集是渗透的过程中的重中之重！好的信息收集可以在渗透过程中让我们行云流水。而且信息收集对条理度和深浅都有严格把关，我们应该尽量地有条理性地进行深度信息收集！以下就是我信息收集思路，尽
阅读全文不出网下的XSS回显和apache配置解析的利用
MysteryMessageBoard 源代码main.go如下 package mainimport ( "context" "fmt" "log" "net/http"
阅读全文Go语言ssti漏洞
简介 SSTI 漏洞是一种通过不安全地处理模板引擎输入而导致的漏洞。攻击者利用 SSTI 漏洞，可以注入恶意代码或表达式到模板引擎中，从而在服务器上执行任意代码，或获取敏感数据。Go中常用的模板引擎如
阅读全文通过JDBCparty 对 oracle 利用链分析
前言 前些日子打了一个软件攻防赛，其中有一个 java 题，我记得结束的时候都是 0 解来着，因为官方也没有给 wp，所以就一直没有去解决，有一天看到 n1ght 师傅发了 poc，于是又去研究了一下
阅读全文WinZip高危漏洞曝光：远程攻击者可任意执行代码
近日，WinZip曝出一个编号为CVE-2025-1240的高危漏洞，远程攻击者可通过利用畸形的7Z压缩包文件，在受影响的系统上执行任意代码。该漏洞的CVSS评分为7.8，影响WinZip 28.0（
阅读全文