安全客 - 安全资讯平台

CNTA-2019-0014——WebLogic反序列化XML注入

2019年4月17日，国家信息安全漏洞共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CNVD-2019-11873）。攻击者利用该漏洞，可在未授权的情况下远程执行命令。

northind
2021-04-27 15:30:40

354857次阅读

Office文档安全：以ODF和OOXML为例

OOXML和ODF是用于文字处理、电子表格和演示文稿的事实上的标准数据格式。两种都是基于XML的功能丰富的容器格式，其历史可以追溯到2000年初期。

CDra90n
2021-04-16 17:30:52

466534次阅读

CVE-2017-10271——WebLogic-Xml反序列化初探

这个漏洞看起来有些复杂，但其实原理较为直接，与之类似的漏洞也有一些。个人感觉，XML的漏洞和WebLogic的反序列化漏洞都有着思路上的共同点：先找到一个可以触发RCE的点，然后不停的尝试，从我们的输入点能否达到它。实现这个思路的具体方法会有差异，这就是这其中每个漏洞的特点了。

northind
2021-03-10 15:30:53

315040次阅读

从XXE盲注到获取root级别文件读取权限

在最近的一次赏金活动中，我发现了一个XML终端，它对XXE漏洞利用尝试给出了有趣的响应。针对这一终端，我没有找到太多的文档记录，只发现了在2016年由一位开发人员做出的记录。

P!chu
2018-12-14 16:30:06

451046次阅读 6

浅析xml之xinclude & xslt

前一篇文章已经提及了较为大众且CTF中常见的xml攻击方式，这里再提两个较为小众的攻击方式（此处小众是指CTF比赛中不常见）。

一叶飘零
2018-08-17 16:30:47

512536次阅读 2

由浅入深剖析xml及其安全隐患

本文用来归纳并深入理解xml语言及其在web环境中可能存在的安全隐患。

一叶飘零
2018-08-13 14:30:00

499686次阅读 4