liszero / JavaSec

Java安全，漏洞分析/挖掘/利用

Focus on Java Security since November 1, 2021 👣

TODO

— 任务驱动式学习路线

• 实现xxx中间件的内存马
• 分析xxx应用的历史漏洞
• 阅读xxx工具的源码
• 开发xxx功能的工具

中间件 / 框架

• Hessian
• Hibernate
• JBoss
• Jetty
• MyBatis
• Resin
  • 内存马(filter/servlet)
  • 漏洞分析
• Shiro
  • 漏洞利用 修改key
• Struts2
  • Apache Struts2 RCE via Log4j2 CVE-2021-44228
• Spring
  • 内存马 (controller/interceptor)
  • 漏洞分析
• Tomcat
  • 内存马 (filter/servlet/listener/valve)
• Weblogic
  • 内存马 (filter/listener/servlet)
  • 漏洞分析
• WebSphere

组件 / 库 / 类库

• Fastjson
• Groovy
• Log4j2
• XMLDecoder
• XStream
• SnakeYAML
• Jackson

代码审计

希望能坚持更新到至少10+案例 👨‍💻

• 01 OFCMS