XStream

cover

Java反序列化

如何高效地捡漏反序列化利用链？

Java反序列化

目前，tabby开源也有一段时间了，这段时间里有不少小伙伴问我如何在实际环境中更好地使用它？

wh1t3p1g
2021-08-31 10:00:53

223030次阅读 2

cover

Java反序列化

如何高效的挖掘Java反序列化利用链？

Java反序列化

目前我个人也在找一个合适的方法来高效挖掘利用链，本文将主要介绍我自己的一些挖掘心得，辅以XStream反序列化利用链CVE-2021-21346为例。

wh1t3p1g
2021-03-18 10:30:51

428580次阅读 7

cover

XStream 反序列化漏洞（CVE-2020-26258 & 26259）的复现与分析

Xstream 是 Java 类库，用来将对象序列化成 XML (JSON) 或反序列化为对象。XStream 是一款开源软件，允许在 BSD 许可证的许可下分发。

奇安信代码卫士
2020-12-23 16:30:58

372301次阅读

cover

XStream反序列化CVE-2020-26217漏洞分析

近期，XStream发布了关于CVE-2020-26217的公告，通过该漏洞攻击者可发送恶意构造的xml，在受影响版本(<=1.4.13)的XStream上直接RCE。

D_infinite
2020-11-19 10:00:14

270790次阅读

cover

回顾XStream反序列化漏洞

XStream也是一款用的比较多的序列化组件，可以将object转化为XML并能完整的还原回来。他也曾经出现过反序列化漏洞，本文主要整理XStream相关的安全问题。

wh1t3p1g
2020-05-07 10:45:55

556131次阅读 3