Y4er 的个人技术博客，记录代码审计、漏洞分析、渗透测试与漏洞挖掘实践。https://y4er.com/zh-CNhttps://y4er.com/posts/dnlib-usage/https://y4er.com/posts/dnlib-usage/前言 看了老外的白皮书兴高采烈去挖洞了，然后发现人家挖洞是黑名单，我挖洞是白名单。需要自己找gadget，可是一个一个找构造函数、getter、setter是真的慢，干脆学一下 看能不能整个.net的tabby出来算求。Thu, 26 Oct 2023 07:39:15 GMT.NET, dnlib代码审计Y4erhttps://y4er.com/posts/apache-activemq-rce/https://y4er.com/posts/apache-activemq-rce/这里可以调用任意类的一个string类型的有参公有构造函数，很容易想到ClassPathXmlApplicationContext。Thu, 26 Oct 2023 07:22:35 GMTActiveMQ, RCE代码审计Y4erhttps://y4er.com/posts/dotnet-new-gadget/https://y4er.com/posts/dotnet-new-gadget/@chudyPB在Hexacon 2023会议上发布了他的dotnet反序列化的研究白皮书，一个长达124页的pdf，这是我看过最强的一篇关于dotnet序列化漏洞的文章。Mon, 23 Oct 2023 08:51:13 GMT.NET代码审计Y4erhttps://y4er.com/posts/cve-2023-42793-jetbrains-teamcity-auth-bypass-rce/https://y4er.com/posts/cve-2023-42793-jetbrains-teamcity-auth-bypass-rce/唯一作用就是从RequestInterceptors对象中拿到myPreHandlingDisabled字段值，然后移除掉//RPC2。Tue, 26 Sep 2023 07:20:26 GMTTeamCity, JetBrains, CVE, RCE代码审计Y4erhttps://y4er.com/posts/lg-simple-editor-rce/https://y4er.com/posts/lg-simple-editor-rce/LG是一家专门搞LED的公司，旗下有一些产品，这次看的是zdi爆出来的LG Simple Editor，公网数量虽然不多，但是漏洞是未授权RCE。Sat, 09 Sep 2023 07:17:52 GMTCVE, RCE代码审计Y4erhttps://y4er.com/posts/devtunnel-the-tunneling-tool-of-microsoft/https://y4er.com/posts/devtunnel-the-tunneling-tool-of-microsoft/当我本地有个python起的web服务时，可以通过devtunnel转发出去。Fri, 01 Sep 2023 03:30:36 GMTdevtunnel, 隧道, 工具渗透测试Y4erhttps://y4er.com/posts/cve-2023-394760-inductive-automation-ignition-javaserializationcodec-deserialization-rce/https://y4er.com/posts/cve-2023-394760-inductive-automation-ignition-javaserializationcodec-deserialization-rce/根据公告来看 未授权，反序列化点在JavaSerializationCodec，漏洞比较特殊，可能是设计问题，找找吧。Tue, 29 Aug 2023 03:25:15 GMTCVE, Ignition, RCE, Deserialization代码审计Y4erhttps://y4er.com/posts/cve-2023-2611-advantech-r-seenet-hardcode/https://y4er.com/posts/cve-2023-2611-advantech-r-seenet-hardcode/随便找了个老版本的站试了试，确实root账号在user列表里不显示，算是后门账号。Sat, 26 Aug 2023 03:22:48 GMTCVE, R-SeeNet代码审计Y4erhttps://y4er.com/posts/cve-2023-37895-apache-jackrabbit-rmi-rce/https://y4er.com/posts/cve-2023-37895-apache-jackrabbit-rmi-rce/关键是怎么利用呢？根据文档 用JcrUtils拿可以拿到Repository，给定http url拿到的是URLRemoteRepository。Fri, 28 Jul 2023 03:11:10 GMTCVE, RCE, RMI, Jackrabbit代码审计Y4erhttps://y4er.com/posts/cve-2023-38646-metabase-pre-auth-rce/https://y4er.com/posts/cve-2023-38646-metabase-pre-auth-rce/抓包发现安装过程中有一个请求 其相应包中包含了setup-token 字段。Wed, 26 Jul 2023 03:20:21 GMTCVE, metabase, RCE代码审计Y4erhttps://y4er.com/posts/cve-2023-3224-nuxt-dev-mode-rce/https://y4er.com/posts/cve-2023-3224-nuxt-dev-mode-rce/如果服务器以dev模式运行并且请求的url以/nuxtcomponenttest/开头，那么引入#build/test-component-wrapper.mjs。Tue, 20 Jun 2023 00:52:20 GMTCVE, nuxt代码审计Y4erhttps://y4er.com/posts/vmware-vrealize-network-insight-command-inject-and-directory-traversal/https://y4er.com/posts/vmware-vrealize-network-insight-command-inject-and-directory-traversal/本文分为两部分，前半部分主要是对VMSA-2022-0031的分析，后半部分是我挖的补丁绕过，官方公告是VMSA-2023-0012。Thu, 08 Jun 2023 09:41:26 GMTvRNI, Java, RCE代码审计Y4erhttps://y4er.com/posts/nacos-hessian-rce/https://y4er.com/posts/nacos-hessian-rce/漏洞概述 由于7848端口采用hessian协议传输数据，反序列化未设置白名单导致存在RCE漏洞。Thu, 08 Jun 2023 01:54:59 GMTnacos, Java, RCE代码审计Y4erhttps://y4er.com/posts/mxsecurity-command-injection-and-hardcoded-credential/https://y4er.com/posts/mxsecurity-command-injection-and-hardcoded-credential/登录ssh 用admin用户登录只有一个cli程序，不是bash，需要挂载vmdk修改/etc/shadow文件，改掉user1用户的密码。Fri, 26 May 2023 02:24:35 GMTbypass, python, jwt, RCE代码审计Y4erhttps://y4er.com/posts/trend-micro-mobile-security-rce/https://y4er.com/posts/trend-micro-mobile-security-rce/WFUser权限绕过+setcertificatesconfig文件上传+getWidgetPoolManager文件包含，很明显的组合拳。Tue, 16 May 2023 09:20:42 GMTCVE, PHP, getshell, bypass, upload代码审计Y4erhttps://y4er.com/posts/harmony-dotnet-patch/https://y4er.com/posts/harmony-dotnet-patch/前言 想做一个类似于java agent的效果出来，hook某些函数来留后门。搜了一下有很多解决方案，但是都不友好。以下是其中一种Harmony框架的动态patch方案，这种方案更倾向于热更新。Wed, 10 May 2023 09:15:36 GMT.NET, Harmony代码审计Y4erhttps://y4er.com/posts/messagepack-csharp-typeless-mode-deserialization-rce/https://y4er.com/posts/messagepack-csharp-typeless-mode-deserialization-rce/MessagePack-CSharp库对于动态类型的处理采用的是Typeless模式，对应的Resolver是TypelessContractlessStandardResolver。Mon, 24 Apr 2023 00:46:13 GMTRCE, .NET, MessagePack代码审计Y4erhttps://y4er.com/posts/python-pth-file-write-getshell/https://y4er.com/posts/python-pth-file-write-getshell/python的site模块支持"Site-specific configuration hook"的功能，这个功能点本身是用来将特定路径加入模块搜索路径。该模块在初始化期间自动导入。Mon, 17 Apr 2023 01:37:55 GMTpython, RCE代码审计Y4erhttps://y4er.com/posts/vmware-vrops-rce-of-java-bean/https://y4er.com/posts/vmware-vrops-rce-of-java-bean/前言 这个漏洞是看了mrme的文章之后 顺手看了看vROPS，发现也存在这个漏洞，于是有此文，漏洞比较简单，下面简单写一下。这是一个授权后的RCE漏洞。Wed, 12 Apr 2023 01:42:15 GMTJava, bean, RCE, vROPS代码审计Y4erhttps://y4er.com/posts/vmware-vrops-fileread-to-rce/https://y4er.com/posts/vmware-vrops-fileread-to-rce/配置调试 修改/opt/vmware/etc/vmware-vcops-firewall.conf配置文件，修改加上自己的端口然后vmware-vcops-firewall restart开防火墙。Wed, 12 Apr 2023 01:39:44 GMTvROPS, RCE, 反序列化, Java代码审计Y4erhttps://y4er.com/posts/modify-code-using-dnspy/https://y4er.com/posts/modify-code-using-dnspy/修改源码 一般情况下使用dnspy来改源码都是因为没有可编译的项目，你要是有可编译的项目那改项目就行了。Sat, 08 Apr 2023 01:34:33 GMTdnspy代码审计Y4erhttps://y4er.com/posts/minio-cve-2023-28432/https://y4er.com/posts/minio-cve-2023-28432/在集群部署中，MinIO返回所有环境变量，包括MINIOSECRETKEY和MINIOROOTPASSWORD，导致信息泄露。Fri, 24 Mar 2023 08:39:34 GMTminio, RCE, CVE代码审计Y4erhttps://y4er.com/posts/cve-2023-27532-veeam-backup-replication-leaked-credentials/https://y4er.com/posts/cve-2023-27532-veeam-backup-replication-leaked-credentials/创建ssl证书，并且绑定在BackupServerSslPort 9401端口上。Fri, 17 Mar 2023 07:48:34 GMTCVE, .NET代码审计Y4erhttps://y4er.com/posts/dongtai-iast/https://y4er.com/posts/dongtai-iast/DongTai-agent-java 由agent.jar、dongtai-core.jar 、dongtai-inject.jar、dongtai-servlet.jar四部分构成，其中：。Fri, 24 Feb 2023 09:11:58 GMTiast代码审计Y4erhttps://y4er.com/posts/apache-geode-vmware-gemfire-deserialize-rce/https://y4er.com/posts/apache-geode-vmware-gemfire-deserialize-rce/Introduction 该漏洞是我在挖掘VMware vROPS产品中发现的反序列化漏洞，但是在VMware vROPS产品中并不能直接利用，因为该产品开启了ssl并且开启了双向认证，必须有ssl的证书才可以反序列化。这里先记录一下未开启ssl的反序列化RCE。Fri, 17 Feb 2023 01:31:03 GMTRCE, geode, gemfire, 反序列化代码审计Y4erhttps://y4er.com/posts/goanywhere-preauth-rce/https://y4er.com/posts/goanywhere-preauth-rce/文章围绕《GoAnywhere 未授权反序列化RCE》展开，主要梳理复现、原理等内容。Mon, 06 Feb 2023 01:28:31 GMTRCE, goanywhere, deserialize, 反序列化代码审计Y4erhttps://y4er.com/posts/simple-use-of-the-java-static-analysis-framework-tai-e/https://y4er.com/posts/simple-use-of-the-java-static-analysis-framework-tai-e/思考很久，发现还是自己底子不扎实，于是学了很长一段时间的静态软件分析，看了很多的论文（折磨）和视频，其中包括南京大学谭添、李樾两位老师的课，北大熊英飞老师的课等等，今天就简单写一下谭添、李樾两位老师开发的tai-e指针分析框架的简单使用。Wed, 18 Jan 2023 02:08:12 GMTtai-e, Java, 污点分析, 自动化代码审计Y4erhttps://y4er.com/posts/tailscale/https://y4er.com/posts/tailscale/前言 疫情居家办公期间，折腾了一段时间的cloudflare tunnel，但是网速时好时坏，rdp卡成ppt，向日葵在mac上也不好用，后来在v2ex上发现了Tailscale和ZeroTier两款点对点穿透工具，折腾一下发现比cf tunnel好用一万倍，nat打洞成功之后ping只有5ms…Wed, 04 Jan 2023 01:42:39 GMT内网穿透, p2p, tailscale瞎折腾Y4erhttps://y4er.com/posts/dotnet-host-startup-hook/https://y4er.com/posts/dotnet-host-startup-hook/截取了部分代码，其实就是在这个StartupHookProvider类中进行加载程序集，然后反射调用Initialize函数，堆栈如下。Tue, 03 Jan 2023 07:27:34 GMT.NET代码审计Y4erhttps://y4er.com/posts/cve-2022-43781-bitbucket-server-rce/https://y4er.com/posts/cve-2022-43781-bitbucket-server-rce/补丁要求用户名不能有空白字符，典型。我们需要看这个空白字符在哪用到了，以及对我们漏洞利用起了什么作用。Mon, 28 Nov 2022 02:21:31 GMTRCE, CVE, Java代码审计Y4erhttps://y4er.com/posts/zk-framework-auth-bypass-case-r1soft-rce/https://y4er.com/posts/zk-framework-auth-bypass-case-r1soft-rce/调试java需要编辑/usr/sbin/r1soft/conf/server.conf加一行。Thu, 17 Nov 2022 02:18:04 GMTJava, RCE代码审计Y4erhttps://y4er.com/posts/infrasuite-device-master-cves/https://y4er.com/posts/infrasuite-device-master-cves/看到zdi发了一堆洞，有反序列化、目录穿越、权限绕过等等，还是dotnet的，于是有了此文。Tue, 08 Nov 2022 09:12:47 GMTCVE, .NET代码审计Y4erhttps://y4er.com/posts/cloudflare-zerotrust-proxy/https://y4er.com/posts/cloudflare-zerotrust-proxy/前言 之前写过用cloudflare零信任功能的tunnel功能做内网穿透。然后这几天又看了看文档，发现cf的零信任需要装一个warp的客户端。Sun, 06 Nov 2022 14:42:45 GMTCloudflare, Zero Trust, WARP瞎折腾Y4erhttps://y4er.com/posts/cve-2022-41828-amazon-redshift-jdbc-driver-rce/https://y4er.com/posts/cve-2022-41828-amazon-redshift-jdbc-driver-rce/和pgsql一样可以用spring中的ClassPathXmlApplicationContext。Fri, 28 Oct 2022 04:48:08 GMTCVE, jdbc代码审计Y4erhttps://y4er.com/posts/cve-2022-42889-apache-commons-text-rce/https://y4er.com/posts/cve-2022-42889-apache-commons-text-rce/1.10.0修复在addDefaultStringLookups添加默认lookup时不再添加script、url、dns标签。Thu, 13 Oct 2022 11:12:46 GMTCVE, RCE代码审计Y4erhttps://y4er.com/posts/from-jmx-to-rce/https://y4er.com/posts/from-jmx-to-rce/service:jmx:rmi:///jndi/rmi://1.1.1.157:9003/jmxrmi jconsole连上去之后发现一些敏感的账号密码。Fri, 30 Sep 2022 03:30:21 GMTjmx, RCE, pentest渗透测试Y4erhttps://y4er.com/posts/cloudflare-tunnel/https://y4er.com/posts/cloudflare-tunnel/打开它提示的url用你的cloudflare账号登录，选择域名后会生成一个cert.pem鉴权文件。Fri, 30 Sep 2022 03:26:43 GMTCloudflare, Tunnel, 内网穿透瞎折腾Y4erhttps://y4er.com/posts/fastjson-1280/https://y4er.com/posts/fastjson-1280/回顾fastjson历史漏洞 fastjson1.2.47是通过MiscCodec向白名单缓存中put任意类。Tue, 20 Sep 2022 01:43:30 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/doop-1/https://y4er.com/posts/doop-1/基本使用 doop仓库是一个gradle项目，./doop其实就是一个bash去调用gradle命令。Thu, 08 Sep 2022 08:31:59 GMT污点分析, 自动化, doop, Java代码审计Y4erhttps://y4er.com/posts/bytecodedl/https://y4er.com/posts/bytecodedl/ByteCodeDL也是一款java字节码静态分析工具，它借助了soot-fact-generator + Souffle 两个工具实现了一款声明式的静态分析工具。Thu, 01 Sep 2022 02:46:09 GMTByteCodeDL, Java, 静态分析, Datalog, 污点分析代码审计Y4erhttps://y4er.com/posts/cve-2022-36923-manageengine-opmanager-getuserapikey-authentication-bypass/https://y4er.com/posts/cve-2022-36923-manageengine-opmanager-getuserapikey-authentication-bypass/MickeyLiteUtil.getUserId()需要给一个正确的domainName才行，得看数据库AaaLogin表中有什么值。Thu, 01 Sep 2022 02:36:39 GMTCVE, RCE, OpManager, Java代码审计Y4erhttps://y4er.com/posts/wangdingbei-badbean-hessian2/https://y4er.com/posts/wangdingbei-badbean-hessian2/所以要找一个触发tostring的，给的版本是dubbo-2.7.14.jar，这个版本有一个任意tostring调用CVE-2021-43297 见。Sat, 27 Aug 2022 07:15:32 GMTCTF, Java, Hessian代码审计Y4erhttps://y4er.com/posts/tomcat-upgrade-memshell/https://y4er.com/posts/tomcat-upgrade-memshell/需要加一个Upgrade等于hello的头，并且Connection要为Upgrade。Wed, 24 Aug 2022 07:16:59 GMTTomcat, Java, shell渗透测试Y4erhttps://y4er.com/posts/cve-2022-22955-vmware-workspace-one-access-oauth2tokenresourcecontroller-auth-bypass/https://y4er.com/posts/cve-2022-22955-vmware-workspace-one-access-oauth2tokenresourcecontroller-auth-bypass/generateActivationToken为oauth2客户端生成激活码。Sun, 14 Aug 2022 05:17:47 GMTJava, bypass, CVE代码审计Y4erhttps://y4er.com/posts/cve-2022-31656-vmware-workspace-one-access-urlrewritefilter-auth-bypass/https://y4er.com/posts/cve-2022-31656-vmware-workspace-one-access-urlrewritefilter-auth-bypass/Petrus Viet在UrlRewriteFilter过滤器中找到了用RequestDispatcher绕过权限校验的点。Sun, 14 Aug 2022 05:11:18 GMTJava, bypass, CVE代码审计Y4erhttps://y4er.com/posts/cve-2022-35405-zoho-password-manager-pro-xml-rpc-rce/https://y4er.com/posts/cve-2022-35405-zoho-password-manager-pro-xml-rpc-rce/回顾 CVE-2020-9496 Apache Ofbiz XMLRPC RCE漏洞 漏洞由XmlRpcRequestParser解析xml时触发，由此我们用tabby来查询谁调用了XmlRpcRequestParser。Thu, 21 Jul 2022 02:16:07 GMTJava, RCE, CVE代码审计Y4erhttps://y4er.com/posts/cve-2022-2143-advantech-iview-networkservlet-command-inject-rce/https://y4er.com/posts/cve-2022-2143-advantech-iview-networkservlet-command-inject-rce/那么mysqldump可以拼接-w参数将内容写入文件，然后可以多次传递-r参数覆盖原有的-r文件路径值。Wed, 06 Jul 2022 06:13:51 GMTRCE, Java, CVE代码审计Y4erhttps://y4er.com/posts/dotnet-deserialize-bypass-binder/https://y4er.com/posts/dotnet-deserialize-bypass-binder/使用SerializationBinder 先来一个demo，用SerializationBinder限制一下反序列化的类型。Mon, 04 Jul 2022 02:26:00 GMT反序列化, deserialize, .NET代码审计Y4erhttps://y4er.com/posts/cve-2022-28219-zoho-manageengine-adaudit-plus-xxe-rce/https://y4er.com/posts/cve-2022-28219-zoho-manageengine-adaudit-plus-xxe-rce/分析 这个洞用了两个点串起来成了一个rce，分别是xxe和一个readObject的点。Thu, 30 Jun 2022 08:38:11 GMTCVE, RCE, XXE, ADAudit, Java代码审计Y4erhttps://y4er.com/posts/cve-2022-21445-oracle-adf-faces-deserialization-rce/https://y4er.com/posts/cve-2022-21445-oracle-adf-faces-deserialization-rce/安装fmw12.2.1.3.0infrastructure.jar 下一步下一步就行。Wed, 29 Jun 2022 08:19:41 GMTJava, CVE, oracle, RCE代码审计Y4erhttps://y4er.com/posts/smarterstats-grpc-rce/https://y4er.com/posts/smarterstats-grpc-rce/分析 SSSvc.exe运行在50003端口上，默认监听0.0.0.0。Wed, 29 Jun 2022 08:16:59 GMT.NET, RCE, SmarterStats代码审计Y4erhttps://y4er.com/posts/cve-2022-26134-confluence-server-data-center-ognl-rce/https://y4er.com/posts/cve-2022-26134-confluence-server-data-center-ognl-rce/其中this.interceptors是拦截器，Confluence默认有28个。Wed, 08 Jun 2022 02:42:27 GMTCVE, Confluence, RCE代码审计Y4erhttps://y4er.com/posts/follina-microsoft-office-rce-with-ms-msdt-protocol/https://y4er.com/posts/follina-microsoft-office-rce-with-ms-msdt-protocol/前言 看推特发了一个好玩的office rce。最早应该是起源于naosec的推特。Thu, 02 Jun 2022 01:36:15 GMToffice, msdt, RCE, Follina渗透测试Y4erhttps://y4er.com/posts/cve-2022-22972-vmware-workspace-one-access-authentication-bypass-rce/https://y4er.com/posts/cve-2022-22972-vmware-workspace-one-access-authentication-bypass-rce/补丁对比 HW-156875-Appliance-21.08.0.1/frontend-0.1.war中增加了一个HostHeaderFilter，匹配全路由。Fri, 27 May 2022 03:31:24 GMTJava, RCE, CVE代码审计Y4erhttps://y4er.com/posts/from-hop-by-hop-to-cve-2022-1388/https://y4er.com/posts/from-hop-by-hop-to-cve-2022-1388/前言 最近爆出来的bigip的CVE-2022-1388漏洞，涉及到一个知识点就是hop by hop，对这个东西没了解过，所以有了此文。Fri, 13 May 2022 01:29:04 GMTJava, hop-by-hop代码审计Y4erhttps://y4er.com/posts/jboss-4446-rce-and-rpc-echo-response/https://y4er.com/posts/jboss-4446-rce-and-rpc-echo-response/议题中讲到了jboss的4446端口反序列化rce，和一条jndi注入的gadget。Fri, 29 Apr 2022 02:23:08 GMTJava, RCE代码审计Y4erhttps://y4er.com/posts/solve-the-problem-of-godzilla-memory-shell-pagecontext/https://y4er.com/posts/solve-the-problem-of-godzilla-memory-shell-pagecontext/前言 注入内存马借助当前的webshell工具而言，冰蝎可以通过创建hashmap放入request、response、session替换pagecontext来解决。Fri, 15 Apr 2022 01:48:42 GMTJava, 内存马渗透测试Y4erhttps://y4er.com/posts/cve-2022-22954-vmware-workspace-one-access-server-side-template-injection-rce/https://y4er.com/posts/cve-2022-22954-vmware-workspace-one-access-server-side-template-injection-rce/看路由是在catalog-portal app下，cd到/opt/vmware/horizon/workspace/webapps/catalog-portal，然后把jar包拖出来解压之后，grep -irn "console.log"。Sat, 09 Apr 2022 08:17:37 GMTJava, ssti, RCE代码审计Y4erhttps://y4er.com/posts/java-deserialization-inject-behinder-memshell-note/https://y4er.com/posts/java-deserialization-inject-behinder-memshell-note/朋友叫帮忙打一个内存马进去，用的是cb链，无cc依赖，我寻思这不是有手就行吗，谁知道接下来遇到了无数的坑。Sat, 02 Apr 2022 01:40:37 GMTJava, 冰蝎, 内存马渗透测试Y4erhttps://y4er.com/posts/cve-2022-26503-veeam-agent-for-microsoft-windows-lpe/https://y4er.com/posts/cve-2022-26503-veeam-agent-for-microsoft-windows-lpe/用CBinaryServerFormatterSink新的反序列化类替换TypeFilterLevel.Full。Tue, 22 Mar 2022 06:43:02 GMTCVE, .NET, LPE代码审计Y4erhttps://y4er.com/posts/cve-2022-26500-veeam-backup-replication-rce/https://y4er.com/posts/cve-2022-26500-veeam-backup-replication-rce/还有补丁包VeeamBackup&Replication11.0.1.126120220302.zip的下载地址。Thu, 17 Mar 2022 02:43:02 GMTCVE, RCE, .NET代码审计Y4erhttps://y4er.com/posts/cve-2022-22947-springcloud-gateway-spel-rce-echo-response/https://y4er.com/posts/cve-2022-22947-springcloud-gateway-spel-rce-echo-response/这个normalizeProperties()是对filter的属性进行解析，会将filter的配置属性传入normalize中,最后进入getValue执行SPEL表达式造成SPEL表达式注入。Thu, 03 Mar 2022 06:37:17 GMTJava, Spring, CVE代码审计Y4erhttps://y4er.com/posts/fileupload-bypass-with-dotnet/https://y4er.com/posts/fileupload-bypass-with-dotnet/前言 看了赛博群的《从commons-fileupload源码看文件上传绕waf》，文末提到了dotnet也有这种问题，于是看了下dotnet的源码。Fri, 25 Feb 2022 08:41:32 GMT.NET, bypass, waf, fileupload渗透测试Y4erhttps://y4er.com/posts/cve-2022-23131-zabbix-web-frontend-bypassing-the-saml-sso-authentication/https://y4er.com/posts/cve-2022-23131-zabbix-web-frontend-bypassing-the-saml-sso-authentication/zabbix5.4的虚拟机 配置saml sso登录。文章进一步梳理环境搭建、漏洞分析、后利用等内容。Tue, 22 Feb 2022 02:39:25 GMTCVE, zabbix, bypass, PHP代码审计Y4erhttps://y4er.com/posts/cve-2021-44521-apache-cassandra-udf-rce/https://y4er.com/posts/cve-2021-44521-apache-cassandra-udf-rce/先说原理，enableuserdefinedfunctionsthreads为false时会隐式禁用security-manager，导致可以通过udf执行java代码。Sat, 12 Feb 2022 09:04:39 GMTUDF, RCE, Java代码审计Y4erhttps://y4er.com/posts/cve-2021-42631-printerlogic-web-stack-unserialize-rce/https://y4er.com/posts/cve-2021-42631-printerlogic-web-stack-unserialize-rce/前言 看到推特上有人发 PrinterLogic Web Stack unserialize RCE，但是poc打码了，所以自己下了一个分析一下。Fri, 28 Jan 2022 03:23:16 GMTRCE, PHP, unserialize, PrinterLogic代码审计Y4erhttps://y4er.com/posts/cve-2022-22733-apache-shardingsphere-elasticjob-ui-rce/https://y4er.com/posts/cve-2022-22733-apache-shardingsphere-elasticjob-ui-rce/handleLogin函数处理登录时会进行判断，如果authenticationResult.isSuccess()登录成功会返回getToken()。Fri, 21 Jan 2022 07:22:00 GMTCVE, RCE, Java代码审计Y4erhttps://y4er.com/posts/several-other-gadgets-of-dotnet/https://y4er.com/posts/several-other-gadgets-of-dotnet/前言 之前写了一些ysoserial.net工具中常见的gadget，文章放在了我的GitHub，这篇文章对其进行补充。Fri, 21 Jan 2022 03:06:13 GMT.NET代码审计Y4erhttps://y4er.com/posts/cve-2021-45456-apache-kylin-command-injection/https://y4er.com/posts/cve-2021-45456-apache-kylin-command-injection/远程调试配置，修改 /home/admin/apache-kylin-4.0.0-bin-spark2/bin/kylin.sh。Thu, 13 Jan 2022 08:06:53 GMTCVE, Kylin代码审计Y4erhttps://y4er.com/posts/metersphere-plugincontroller-pre-auth-rce/https://y4er.com/posts/metersphere-plugincontroller-pre-auth-rce/文件名形如/opt/metersphere/data/body/plugin/490fb08a-eae3-4414-a991-09f16f5b8f5etest.jar。Fri, 07 Jan 2022 02:38:55 GMTRCE, Java代码审计Y4erhttps://y4er.com/posts/cve-2021-45232-apache-apisix-dashboard-unauthorized-access-vulnerability/https://y4er.com/posts/cve-2021-45232-apache-apisix-dashboard-unauthorized-access-vulnerability/修改 /home/ubuntu/apisix-docker/example/docker-compose.yml 文件，改一个老版本。Tue, 28 Dec 2021 02:36:31 GMTAPISIX, RCE, CVE代码审计Y4erhttps://y4er.com/posts/cve-2021-44077-zoho-manageengine-servicedesk-plus-pre-auth-rce/https://y4er.com/posts/cve-2021-44077-zoho-manageengine-servicedesk-plus-pre-auth-rce/环境搭建 11303版本的才有ImportTechnicians action，11305版本没有，踩了个大坑。Tue, 07 Dec 2021 03:03:48 GMTServiceDesk, RCE, CVE代码审计Y4erhttps://y4er.com/posts/cve-2021-34992-orckestra-c1-cms-deserialization-rce/https://y4er.com/posts/cve-2021-34992-orckestra-c1-cms-deserialization-rce/漏洞描述 Orckestra C1 CMS 6.10存在 .net 反序列化漏洞，需要登录，成因是因为TypeNameHandling.Auto。Sat, 04 Dec 2021 13:36:49 GMT.NET, RCE代码审计Y4erhttps://y4er.com/posts/cve-2021-21234-spring-boot-actuator-logview-directory-traversal/https://y4er.com/posts/cve-2021-21234-spring-boot-actuator-logview-directory-traversal/在spring-boot-actuator-logview 0.2.13版本之前，对文件路径参数过滤不严导致可以目录穿越读取任意文件。Wed, 01 Dec 2021 13:34:33 GMTspringboot, CVE, Java代码审计Y4erhttps://y4er.com/posts/commvault-command-center-pre-auth-rce/https://y4er.com/posts/commvault-command-center-pre-auth-rce/CommVault这玩意是两种语言(.net和java)开发的，两掺挺有意思。Thu, 25 Nov 2021 13:32:01 GMTRCE, Java, .NET代码审计Y4erhttps://y4er.com/posts/apache-storm-two-cve/https://y4er.com/posts/apache-storm-two-cve/GHSL-2021-086: Unsafe Deserialization in Apache Storm supervisor - CVE-2021-40865 GHSL-2021-085：Apache Storm Nimbus 中的命令注入 - CVE-2021-38294。Mon, 01 Nov 2021 01:36:58 GMTCVE, Storm代码审计Y4erhttps://y4er.com/posts/cve-2021-35218-solarwinds-patch-manager-orion-chart-rce/https://y4er.com/posts/cve-2021-35218-solarwinds-patch-manager-orion-chart-rce/前言 目前这篇文章中报的RCE，和作者沟通了一下发现只剩下CVE-2021–35218没有分析出来了，硬看实在看不出来，所以本文使用diff dll的形式进行比对，最终找到了漏洞点所在。Fri, 29 Oct 2021 01:31:37 GMTCVE代码审计Y4erhttps://y4er.com/posts/cve-2021-35216-solarwinds-patch-manager-edittopxx-rce/https://y4er.com/posts/cve-2021-35216-solarwinds-patch-manager-edittopxx-rce/ysoserial.net生成payload可以直接打，需要注意只能用get请求发包，所以要用最小的payload。Sat, 23 Oct 2021 01:29:56 GMTCVE代码审计Y4erhttps://y4er.com/posts/cve-2021-35217-solarwinds-patch-manager-wsasyncexecutetasks-rce/https://y4er.com/posts/cve-2021-35217-solarwinds-patch-manager-wsasyncexecutetasks-rce/继推特@testanull的研究文章，分析另一个RCE CVE-2021–35217。Sat, 23 Oct 2021 01:27:23 GMTCVE代码审计Y4erhttps://y4er.com/posts/cve-2021-35215-solarwinds-orion-platform-actionpluginbaseview-rce/https://y4er.com/posts/cve-2021-35215-solarwinds-orion-platform-actionpluginbaseview-rce/原文讲的很清楚了，我这里大概记一下。看懂可能需要一些dotnet反序列化的基础知识，移步。Sat, 23 Oct 2021 01:25:05 GMTCVE代码审计Y4erhttps://y4er.com/posts/use-local-factory-bypass-jdk-to-jndi/https://y4er.com/posts/use-local-factory-bypass-jdk-to-jndi/oracle在jdk8u121使用trustURLCodebase限制了rmi对于codebase的远程加载，但是可以使用ldap绕过，但是8u191之后ldap同样不能使用。由此本文展开对于8u191之后的jndi注入的利用。Wed, 20 Oct 2021 01:22:27 GMTJNDI代码审计Y4erhttps://y4er.com/posts/citrix-sharefile-cve-2021-22941-rce/https://y4er.com/posts/citrix-sharefile-cve-2021-22941-rce/前言 刷推特看到的，分析一下。Citrix的账号直接注册登录就行，可以下载试用。安装就不说了，server2016+iis+.netFramework48。Wed, 20 Oct 2021 01:19:07 GMTCVE, Citrix ShareFile, .NET, 代码审计代码审计Y4erhttps://y4er.com/posts/aspnet-getshell-tips/https://y4er.com/posts/aspnet-getshell-tips/实际环境中经常碰到asp.net的站，这些站点多采用asp.net mvc、asp.net core或者是预编译等等，而采用这些方案最恶心的点在于无法拿到webshell来进行下一步渗透。Mon, 28 Jun 2021 10:33:43 GMTasp.net渗透测试Y4erhttps://y4er.com/posts/dump-plaintext-credentials-from-termservice/https://y4er.com/posts/dump-plaintext-credentials-from-termservice/推特上看到一篇推文 他发现了在远程桌面服务的内存中存储了用户明文密码，本文复现下。Thu, 20 May 2021 02:43:06 GMT明文渗透测试Y4erhttps://y4er.com/posts/using-csharp-to-develop-the-iis-module-backdoor/https://y4er.com/posts/using-csharp-to-develop-the-iis-module-backdoor/iis后门的两种形式 根据微软的文档，iis开发功能分为两种，分别是IIS module和IIS handler，即IIS模块和IIS处理程序。Fri, 26 Mar 2021 03:04:35 GMT开发, 后门, .NET, backdoor渗透测试Y4erhttps://y4er.com/posts/using-serverless-add-watermark/https://y4er.com/posts/using-serverless-add-watermark/之前自己使用的cloudflare的防火墙规则拦住了一些垃圾爬虫，但是发现cloudflare再牛还是拦不住一些盗文章偷图的人，与其防不胜防，干脆直接给自己的图片加上水印拉到。Sat, 20 Mar 2021 06:36:07 GMTserverless瞎折腾Y4erhttps://y4er.com/posts/using-csharp-to-syscall/https://y4er.com/posts/using-csharp-to-syscall/最近看了很多关于syscall的文章，国外大多数安全研究员使用syscall来绕过edr的hook，使用的语言也五花八门，而我c系列的语言只会一点c#，所以我就用C#来简单实现一个syscall。Thu, 11 Mar 2021 01:52:48 GMT.NET, syscall渗透测试Y4erhttps://y4er.com/posts/ysoserial-aspectjweaver-gadget/https://y4er.com/posts/ysoserial-aspectjweaver-gadget/昨天在挖weblogic漏洞时发现ysoserial更新了一个新的gadget AspectJWeaver，今天分析一下。Sun, 21 Feb 2021 05:19:40 GMTysoserial, 反序列化代码审计Y4erhttps://y4er.com/posts/weblogic-cve-2020-14756/https://y4er.com/posts/weblogic-cve-2020-14756/10对应的是实现了ExternalizableLite接口的类。继续跟进readExternalizableLite()，其使用loadClass进行加载类，不受weblogic黑名单限制。Wed, 27 Jan 2021 01:29:42 GMTJava, CVE代码审计Y4erhttps://y4er.com/posts/weblogic-cve-2021-2109-jndi-rce/https://y4er.com/posts/weblogic-cve-2021-2109-jndi-rce/分析 consolejndi.portal中存在JNDIBindingPageGeneral jndi绑定的东西。Tue, 26 Jan 2021 23:36:01 GMTJava, JNDI, CVE代码审计Y4erhttps://y4er.com/posts/apache-flink-cve-2020-17518-17519-rce/https://y4er.com/posts/apache-flink-cve-2020-17518-17519-rce/RouterHandler类是路由核心类，用于处理路由的整体交互走向。QueryStringDecoder类是自实现的解码类，在qsd.path()中首次进行url解码。Wed, 20 Jan 2021 03:53:27 GMTRCE, Flink, Java代码审计Y4erhttps://y4er.com/posts/real-wolrd-ctf-old-system-new-getter-jndi-gadget/https://y4er.com/posts/real-wolrd-ctf-old-system-new-getter-jndi-gadget/昨天晚上看了长亭的一篇Real Wolrd CTF 3rd Writeup | Old System 推文，觉得很有意思，自己研究下。Thu, 14 Jan 2021 01:25:45 GMTJNDI, CTF代码审计Y4erhttps://y4er.com/posts/blockdlls/https://y4er.com/posts/blockdlls/cobaltstrike有一个blockdlls，该命令可以使产生的进程禁止加载非微软签名的dll，用来绕过一些注入DLL的edr有显著效果。Thu, 14 Jan 2021 01:23:17 GMT免杀渗透测试Y4erhttps://y4er.com/posts/csharp-dns-server-shellcode/https://y4er.com/posts/csharp-dns-server-shellcode/程序设计 因为dns为递归查询，所以dns的数据最终会被我们的vps接收。而对比cs的dns传输，我们需要设计一个传输规范，规定哪部分为command，哪部分为data。Thu, 14 Jan 2021 01:20:05 GMTshellcode, .NET, dns渗透测试Y4erhttps://y4er.com/posts/kerberos-bronze-bit-attack/https://y4er.com/posts/kerberos-bronze-bit-attack/Kerberos Bronze Bit Attack又称Kerberos青铜比特攻击，由国外netspi安全研究员Jake Karnes发现的漏洞，并且申请了CVE-2020-17049编号。Tue, 22 Dec 2020 02:51:18 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/xxe-to-dc-replay/https://y4er.com/posts/xxe-to-dc-replay/概述 本文主要复现该文章中XXE中继的部分，主要利用的技术为通过XXE实现NTLM中继从而添加基于资源约束委派，最后拿到webdav的TGS票据。Sat, 12 Dec 2020 04:50:28 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-resource-based-constrained-delegation/https://y4er.com/posts/kerberos-resource-based-constrained-delegation/在之前的约束委派文章中提到，如果配置受约束的委派，必须拥有SeEnableDelegation特权，该特权是敏感的，通常仅授予域管理员。为了使用户/资源更加独立，Windows Server 2012中引入了基于资源的约束委派。基于资源的约束委派允许资源配置受信任的帐户委派给他们。Sat, 12 Dec 2020 04:47:18 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/linux-backdoor-pam/https://y4er.com/posts/linux-backdoor-pam/PAM是Linux默认的ssh认证登录机制，因为他是开源的，我们可以修改源码实现自定义认证逻辑，达到记录密码、自定义密码登录、dns带外等功能。Sat, 12 Dec 2020 04:43:41 GMT后门, Linux, PAM渗透测试Y4erhttps://y4er.com/posts/kerberos-constrained-delegation/https://y4er.com/posts/kerberos-constrained-delegation/概述 因为非约束委派的不安全性，约束委派应运而生。在2003之后微软引入了非约束委派，对Kerberos引入S4U，包含了两个子协议S4U2self、S4U2proxy。Sat, 12 Dec 2020 04:42:02 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-unconstrained-delegation/https://y4er.com/posts/kerberos-unconstrained-delegation/域委派 一句话概况，委派就是将域内用户的权限委派给服务账号，使得服务账号能以用户权限开展域内活动。将我的权限给服务账户。Sat, 12 Dec 2020 04:38:52 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-kerberoasting-spn/https://y4er.com/posts/kerberos-kerberoasting-spn/在之前Kerberos的TGSREQ & TGSREP过程中提到，只要用户提供的票据正确，服务就会返回自身hash加密的tgs票据，那么如果我们有一个域用户，就可以申请服务的tgs票据，本地爆破服务hash得到服务密码，这个过程叫做Kerberoasting。Fri, 13 Nov 2020 03:51:28 GMTKerberos, Kerberoasting, SPN渗透测试Y4erhttps://y4er.com/posts/kerberos-golden-ticket-and-silver-ticket/https://y4er.com/posts/kerberos-golden-ticket-and-silver-ticket/Golden Ticket 在ASREQ & ASREP中，用户使用自身hash加密时间戳发送给KDC，KDC验证成功后返回用krbtgt hash加密的TGT票据。如果我们有krbtgt的hash，就可以自己给自己签发任意用户的tgt票据。Thu, 12 Nov 2020 03:41:51 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-pac/https://y4er.com/posts/kerberos-pac/PAC在其中出现的节点为ASREP和APREP。在ASREP中，KDC返回的tgt票据中包含了PAC。Thu, 12 Nov 2020 03:39:57 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/tgs_req-and-tgs_rep-security-issues/https://y4er.com/posts/tgs_req-and-tgs_rep-security-issues/Pass The Ticket 两个步骤全是通过ASREQ拿到的票据进行验证，那么完全可以只用这张票据来进行横向。Thu, 12 Nov 2020 03:38:47 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-tgs_req-and-tgs_rep/https://y4er.com/posts/kerberos-tgs_req-and-tgs_rep/配置以下Kerberos发包工具。把ASREP的票据导入，同样勾上RC4加密。Thu, 12 Nov 2020 03:37:42 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/as_req-and-as_rep-security-issues/https://y4er.com/posts/as_req-and-as_rep-security-issues/上文讲了ASREQ & ASREP的流程和各个字段的解释。本文将讲述其中产生的问题和如何利用。Thu, 12 Nov 2020 03:36:02 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/kerberos-as_req-and-as_rep/https://y4er.com/posts/kerberos-as_req-and-as_rep/Kerberos是一种由MIT（麻省理工大学）提出的一种网络身份验证协议。Thu, 12 Nov 2020 03:34:09 GMTKerberos渗透测试Y4erhttps://y4er.com/posts/ntlm-and-net-ntlm-hash/https://y4er.com/posts/ntlm-and-net-ntlm-hash/Net-NTLM Hash 通常是指网络环境下NTLM认证中的Hash，比如在工作组环境中，共享资料通过net use来建立smb共享。早期smb传输明文口令，后来用LM，现在用NTLM。Thu, 12 Nov 2020 03:32:07 GMTNTLM渗透测试Y4erhttps://y4er.com/posts/ntlm-hash-and-lm-hash/https://y4er.com/posts/ntlm-hash-and-lm-hash/本地认证的过程其实就是Windows把用户输入的密码凭证和sam里的加密hash比对的过程。Thu, 12 Nov 2020 03:29:48 GMTNTLM渗透测试Y4erhttps://y4er.com/posts/slack-golang-c2/https://y4er.com/posts/slack-golang-c2/最近在学golang，恰好看到demon分析的golang slack c2，便想着自己也来写一写。Sat, 03 Oct 2020 15:57:50 GMTgo, c2, Slack渗透测试Y4erhttps://y4er.com/posts/javaagent-tomcat-memshell/https://y4er.com/posts/javaagent-tomcat-memshell/本文将要讲解的是通过Java agent拦截修改关键类的字节码，最大程度实现一套代码通用注入内存shell。Wed, 30 Sep 2020 03:24:47 GMTshell, 反序列化, Java, Agent, 内存马代码审计Y4erhttps://y4er.com/posts/certutil-powershell-write-file/https://y4er.com/posts/certutil-powershell-write-file/而在使用certutil base64通过echo写文件时，echo会在每行的末尾追加一个空格，加上http传输的URL编码问题，有一些傻逼环境总是decode时候出错，而且一些几十几百k的文件，一行一行echo实在是拉跨。Mon, 28 Sep 2020 06:54:25 GMTCertutil, PowerShell, Burp Suite渗透测试Y4erhttps://y4er.com/posts/spring-cloud-snakeyaml-shell-regeorg/https://y4er.com/posts/spring-cloud-snakeyaml-shell-regeorg/使用Spring Cloud SnakeYAML的反序列化漏洞一键注册cmd shell和reGeorg。Thu, 24 Sep 2020 10:48:16 GMTJava, 内存shell, 反序列化渗透测试Y4erhttps://y4er.com/posts/cobalt-strike-powershell-bypass/https://y4er.com/posts/cobalt-strike-powershell-bypass/把FromBase64String改成FromBase65String就不杀了，那就解决掉FromBase64String，直接改成byte数组。Thu, 27 Aug 2020 03:40:54 GMTPowerShell渗透测试Y4erhttps://y4er.com/posts/weblogic-cve-2020-14645/https://y4er.com/posts/weblogic-cve-2020-14645/UniversalExtractor任意调用get、is方法导致JNDI注入。Mon, 20 Jul 2020 03:58:04 GMTJava, CVE代码审计Y4erhttps://y4er.com/posts/command-inject-ctf/https://y4er.com/posts/command-inject-ctf/在qq群里提出了一个每日一问的活动，目的是拓展渗透实战思路，问题不限于渗透、审计、红队、逆向。这篇文章是昨天晚上临时由实战环境改的一个CTF题。Fri, 10 Jul 2020 05:49:28 GMT渗透测试, CTF渗透测试Y4erhttps://y4er.com/posts/pentest-idea-sharing-file/https://y4er.com/posts/pentest-idea-sharing-file/上文分享了注入相关的东西，注入也可以对文件进行操作，本文是对文件操作漏洞的拓展。Tue, 23 Jun 2020 02:40:13 GMT渗透测试, getshell渗透测试Y4erhttps://y4er.com/posts/pentest-idea-sharing-sql/https://y4er.com/posts/pentest-idea-sharing-sql/从实习到现在，因为从事打点工作的原因，实战经验积累了很多，就想写一些自己在实战中碰到的问题，以及自己的解决方法，因为保密的原因大多数不提供复现环境和截图，权当对渗透思路的一个拓展吧。可能会多写几篇，也可能因为实战经验不足就此荒废这个系列。总之看心情和时间安排吧。Fri, 19 Jun 2020 03:34:24 GMT渗透, SQL注入渗透测试Y4erhttps://y4er.com/posts/fastjson-bypass-autotype-1268/https://y4er.com/posts/fastjson-bypass-autotype-1268/首先判断非空和安全模式以及typename长度来决定是否进行autotype。Tue, 16 Jun 2020 03:22:00 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/ysoserial-jdk7u21/https://y4er.com/posts/ysoserial-jdk7u21/getTransletInstance()中将恶意字节码加载进来并且new实例，在实例化时rce。Wed, 10 Jun 2020 03:13:52 GMTysoserial, 反序列化, Java代码审计Y4erhttps://y4er.com/posts/cve-2019-3799-spring-cloud-config-server/https://y4er.com/posts/cve-2019-3799-spring-cloud-config-server/参考 Spring-Cloud-Config-Server-任意文件读取分析。Fri, 05 Jun 2020 06:30:48 GMTJava, Spring, CVE代码审计Y4erhttps://y4er.com/posts/bypass-jep290/https://y4er.com/posts/bypass-jep290/关于JEP290 JEP290是Java底层为了缓解反序列化攻击提出的一种解决方案，主要做了以下几件事。Fri, 29 May 2020 03:27:08 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/cve-2020-9484-tomcat-session-rce/https://y4er.com/posts/cve-2020-9484-tomcat-session-rce/修改tomcat路径conf目录下的context.xml 在 标签内加入以下配置。Mon, 25 May 2020 02:23:34 GMTTomcat, RCE代码审计Y4erhttps://y4er.com/posts/bypassuac-with-icmluautil/https://y4er.com/posts/bypassuac-with-icmluautil/本文主要讲述UACME项目中索引为41的ICMLuaUtil方法为例实现一个bypassuac，该方法原理在于调用COM组件中自动提权并且可以执行命令的接口。Thu, 21 May 2020 01:58:33 GMTWindows, UAC, ICMLuaUtil, COM渗透测试Y4erhttps://y4er.com/posts/java-deserialization-echo/https://y4er.com/posts/java-deserialization-echo/写在文前 在研究weblogic、fastjson、shiro反序列化漏洞时，多次遇到了回显问题，本文将从以下几种角度出发来分别探讨反序列化回显的问题，也感谢各位师傅们的反序列化回显研究。Fri, 15 May 2020 16:00:17 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/win10-wsreset-bypassuac/https://y4er.com/posts/win10-wsreset-bypassuac/在我自己测试的过程中因为WSReset.exe启动过慢的情况出现了多次复现不成功，建议把powershell脚本去掉后面的清空注册表，避免WSReset运行时找不到注册表，不过记得手动清除。Sat, 09 May 2020 02:32:20 GMTbypassuac, 渗透测试渗透测试Y4erhttps://y4er.com/posts/java-expression-injection/https://y4er.com/posts/java-expression-injection/禁用/启用EL表达式 全局禁用EL表达式，web.xml中进入如下配置：。Fri, 08 May 2020 03:40:36 GMTJava, EL表达式代码审计Y4erhttps://y4er.com/posts/shiro-rememberme-rce/https://y4er.com/posts/shiro-rememberme-rce/分析 首先要知道shiro是一个用来做身份验证的框架，其原理是基于servlet的filter进行的。在web.xml中定义了ShiroFilter，作用范围是当前目录下所有的url。Wed, 29 Apr 2020 03:49:36 GMTJava, shiro, 反序列化代码审计Y4erhttps://y4er.com/posts/php-preg-replace-getshell/https://y4er.com/posts/php-preg-replace-getshell/功能很简单，就是正则匹配API然后写入，主要的问题就出在正则身上，贪婪模式并且无/s单行，可以通过换行符绕过。看图:。Tue, 28 Apr 2020 02:45:36 GMT正则, PHP代码审计Y4erhttps://y4er.com/posts/fastjson-learn/https://y4er.com/posts/fastjson-learn/fastjson是阿里巴巴的一个json库，频频爆RCE。本文分析fastjson至今的一些RCE漏洞。Sun, 26 Apr 2020 03:54:56 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/tongda-fake-user/https://y4er.com/posts/tongda-fake-user/在logincheckcode.php中UID可控，当UID为1时，用户默认为admin管理员。Fri, 24 Apr 2020 01:35:02 GMT通达OA代码审计Y4erhttps://y4er.com/posts/javassist-learn/https://y4er.com/posts/javassist-learn/前言 Java中所有的类都被编译为class文件来运行，在编译完class文件之后，类不能再被显示修改，而Javassist就是用来处理编译后的class文件，它可以用来修改方法或者新增方法，并且不需要深入了解字节码，还可以生成一个新的类对象。Mon, 20 Apr 2020 03:21:05 GMTJava代码审计Y4erhttps://y4er.com/posts/ysoserial-commonscollections-2/https://y4er.com/posts/ysoserial-commonscollections-2/反序列化从PriorityQueue开始，进入PriorityQueue的readObject()。Fri, 17 Apr 2020 02:48:27 GMTJava, ysoserial代码审计Y4erhttps://y4er.com/posts/java-xmldecoder/https://y4er.com/posts/java-xmldecoder/简介 XMLDecoder是java自带的以SAX方式解析xml的类，其在反序列化经过特殊构造的数据时可执行任意命令。在Weblogic中由于多个包wls-wast、wls9asyncresponse war、async使用了该类进行反序列化操作，出现了了多个RCE漏洞。Mon, 13 Apr 2020 01:25:15 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/attack-java-jndi-rmi-ldap-2/https://y4er.com/posts/attack-java-jndi-rmi-ldap-2/攻击JNDI 作者水平有限，本文仅讲述以下几种攻击JNDI的方法。 JNDI 配合 RMI Remote Object(codebase) JNDI Reference 配合 RMI JNDI Reference 配合 LDAP。Fri, 03 Apr 2020 02:06:44 GMTJava, RMI, JNDI, LDAP代码审计Y4erhttps://y4er.com/posts/java-proxy/https://y4er.com/posts/java-proxy/简述代理模式 代理是英文(Proxy)翻译过来的，在我们的实际生活中，最常见的代理模式应该是朋友圈中的微商了。在起初的时候，厂商直接对标顾客，没有微商在中间赚差价，结构就是如图。Fri, 03 Apr 2020 02:02:04 GMTJava, 代理模式代码审计Y4erhttps://y4er.com/posts/cve-2020-7961-liferay-portal-rce/https://y4er.com/posts/cve-2020-7961-liferay-portal-rce/漏洞概述 2020/3/24日，陈师傅在推特上转发了一篇文章，在该文中Code White 公开了 Liferay Portal JSON反序列化RCE漏洞，攻击者可以发送payload到服务器造成远程代码执行，本文是对其的分析。Sun, 29 Mar 2020 12:58:20 GMTCVE, RCE, 反序列化代码审计Y4erhttps://y4er.com/posts/cve-2020-10189-zoho-manageengine-rce/https://y4er.com/posts/cve-2020-10189-zoho-manageengine-rce/漏洞描述 在3月6日，@steventseeley 在twitter上发布了关于 Zoho 企业产品 Zoho ManageEngine Desktop Central 中的反序列化远程代码执行漏洞。Sat, 21 Mar 2020 10:40:25 GMTJava, 反序列化, RCE代码审计Y4erhttps://y4er.com/posts/tongda-oa-rce/https://y4er.com/posts/tongda-oa-rce/这里不传P参数就能绕过exit了，然后走到下面的includeonce进行文件包含造成RCE。Wed, 18 Mar 2020 13:04:03 GMTPHP, RCE代码审计Y4erhttps://y4er.com/posts/oracle-sql-inject/https://y4er.com/posts/oracle-sql-inject/基本概念 Oracle和MySQL数据库语法大致相同，结构不太相同。最大的一个特点就是oracle可以调用Java代码。Wed, 18 Mar 2020 12:58:02 GMT注入, Oracle渗透测试Y4erhttps://y4er.com/posts/weblogic-cve-2020-2555/https://y4er.com/posts/weblogic-cve-2020-2555/2020.03.06 早上4点，看到了清水川崎师傅推送了Weblogic CVE-2020-2555的通告，在推特上搜了一波，发现有详细的分析文章，遂有此文。Mon, 09 Mar 2020 10:26:22 GMT反序列化, Java, 代码审计代码审计Y4erhttps://y4er.com/posts/attack-java-jndi-rmi-ldap-1/https://y4er.com/posts/attack-java-jndi-rmi-ldap-1/关于JNDI JNDI(Java Naming and Directory Interface)是Java提供的Java 命名和目录接口。通过调用JNDI的API应用程序可以定位资源和其他程序对象。Thu, 05 Mar 2020 07:34:28 GMTJava, 反序列化代码审计Y4erhttps://y4er.com/posts/weblogic-cve-2020-2551/https://y4er.com/posts/weblogic-cve-2020-2551/在Weblogic中，默认启用了IIOP，而IIOP的传输也是通过序列化和反序列化的形式来进行的。在Weblogic中RMI-IIOP模型可以借用奇安信观星实验室的一张图来说明。Fri, 28 Feb 2020 05:23:36 GMTRCE, 反序列化, Java代码审计Y4erhttps://y4er.com/posts/weblogic-jrmp/https://y4er.com/posts/weblogic-jrmp/JRMP在前文中提到了在传输过程中也会自动序列化和反序列化，那么我们可以构造一个gadgets，通过T3协议让weblogic自动请求我们的JRMPListener，然后JRMPListener返回给他一个恶意的gadgets对象，weblogic自动反序列化恶意对象，达到rce。Wed, 26 Feb 2020 12:30:20 GMTJRMP, CVE, Java, 反序列化代码审计Y4erhttps://y4er.com/posts/csharp-shellcode-loader/https://y4er.com/posts/csharp-shellcode-loader/cobalt strike 或者 metasploit 生成 csharp 的 payload ,先使用 enloader 加密,再使用 loader.exe 执行.Tue, 25 Feb 2020 15:46:39 GMTshellcode渗透测试Y4erhttps://y4er.com/posts/apache-dubbo-cve-2019-17564/https://y4er.com/posts/apache-dubbo-cve-2019-17564/漏洞描述 Apache Dubbo支持多种协议,官方推荐使用Dubbo协议。Sun, 16 Feb 2020 08:59:54 GMT反序列化, Dubbo, CVE, ysoserial代码审计Y4erhttps://y4er.com/posts/java-rmi/https://y4er.com/posts/java-rmi/RMI简介 Java远程方法调用，即Java RMI（Java Remote Method Invocation）是Java编程语言里，一种用于实现远程过程调用的应用程序编程接口。它使客户机上运行的程序可以调用远程服务器上的对象。远程方法调用特性使Java编程人员能够在网络环境中分布操作。Sat, 15 Feb 2020 15:11:20 GMTJava, RMI, 反序列化, ysoserial代码审计Y4erhttps://y4er.com/posts/weblogic-uses-classloader-and-rmi-to-display-command-execution-results/https://y4er.com/posts/weblogic-uses-classloader-and-rmi-to-display-command-execution-results/最近在研究weblogic，复现了几个CVE执行命令都没有回显，Google了一下，发现可以通过RMI来解决weblogic反序列化RCE没有命令执行结果回显，先看下基础知识。Fri, 14 Feb 2020 12:17:12 GMTRMI, ClassLoader代码审计Y4erhttps://y4er.com/posts/ysoserial-urldns/https://y4er.com/posts/ysoserial-urldns/可以看到是HashMap类的问题，而触发反序列化的⽅法是 readObject ，直奔 HashMap 类的 readObject ⽅法：。Wed, 12 Feb 2020 14:28:34 GMTJava, ysoserial代码审计Y4erhttps://y4er.com/posts/weblogic-cve-2016-3510/https://y4er.com/posts/weblogic-cve-2016-3510/成功执行命令，断点同样下在InvokerTransformer的transform()，堆栈如下。Wed, 12 Feb 2020 14:22:01 GMTJava, CVE代码审计Y4erhttps://y4er.com/posts/hook-eval/https://y4er.com/posts/hook-eval/本文主要针对第二种，而单文件加密的一般都是对源码进行字符串操作，比如对字符串移位、拼接，或者重新定义变量，重新赋值数组，总之就是尽可能减少程序可读性。Sun, 02 Feb 2020 13:11:52 GMTPHP, shell二进制Y4erhttps://y4er.com/posts/weblogic-cve-2016-0638/https://y4er.com/posts/weblogic-cve-2016-0638/后来集成为一个补丁 p219845891036Generic ，补丁下载需要Oracle的metalink账号也就是付费客户才可以下载，p219845891036Generic 补丁我在网上没找到，只能退而求其次用两个补丁的方式了。Sat, 01 Feb 2020 11:43:06 GMTJava, CVE代码审计Y4erhttps://y4er.com/posts/weblogic-cve-2015-4852/https://y4er.com/posts/weblogic-cve-2015-4852/common-collections导致的反序列化RCE，闲着也是闲着，分析下。Thu, 30 Jan 2020 08:08:39 GMTJava, CVE代码审计Y4erhttps://y4er.com/posts/java-exec-command/https://y4er.com/posts/java-exec-command/Java中执行命令有很多姿势，但是有时候带有|, 等符号的命令没办法正常执行。为什么呢？Thu, 30 Jan 2020 07:59:40 GMTJava代码审计Y4erhttps://y4er.com/posts/ysoserial-commonscollections-5/https://y4er.com/posts/ysoserial-commonscollections-5/在我的上篇关于 Java反序列化 的文章中，简单提到了反序列化的入口(readObject)和反射，本文我们根据上文的基础来学习 ysoserial CommonsCollections5 的反序列化流程。Sun, 19 Jan 2020 11:23:13 GMTJava代码审计Y4erhttps://y4er.com/posts/weiphp-exp-sql/https://y4er.com/posts/weiphp-exp-sql/在elseif语句中，如果传入的字段是数组，并且下标为0的值为exp，那么会执行 Db::raw()来进行表达式查询。Wed, 11 Dec 2019 02:06:42 GMTWeiphp, PHP, SQL代码审计Y4erhttps://y4er.com/posts/weiphp5-unauthorized/https://y4er.com/posts/weiphp5-unauthorized/这是islogin()的定义，从session中取，0-未登录，大于0-当前登录用户ID。未登录时!islogin()为真。Tue, 10 Dec 2019 12:50:24 GMT代码审计代码审计Y4erhttps://y4er.com/posts/thinkphp5-source-read/https://y4er.com/posts/thinkphp5-source-read/框架引导start.php thinkphp为单程序入口，这是mvc框架的特征，程序的入口在public目录下的index.php。Wed, 27 Nov 2019 13:55:25 GMT代码审计代码审计Y4erhttps://y4er.com/posts/thinkphp5-rce/https://y4er.com/posts/thinkphp5-rce/thinkphp5最出名的就是rce，我先总结rce，rce有两个大版本的分别。Wed, 27 Nov 2019 13:39:54 GMT代码审计代码审计Y4erhttps://y4er.com/posts/thinkphp3-vuln/https://y4er.com/posts/thinkphp3-vuln/Thinkphp3 开发手册 Thinkphp3.2.3 安全开发须知 ThinkPHP中的常用方法汇总总结:M方法，D方法，U方法，I方法。Wed, 27 Nov 2019 13:22:13 GMT代码审计代码审计Y4erhttps://y4er.com/posts/sqlmap-tamper/https://y4er.com/posts/sqlmap-tamper/简单介绍tamper sqlmap的--tamper参数可以引入用户自定义的脚本来修改注入时的payload，由此可以使用tamper来绕过waf，替换被过滤的关键字等。这是一个基本的tamper结构。Mon, 18 Nov 2019 13:20:09 GMT渗透测试Y4erhttps://y4er.com/posts/mssql-execute-command-with-clr-assemblies/https://y4er.com/posts/mssql-execute-command-with-clr-assemblies/在我们拿到一个mssql的可堆叠注入时，可能第一时间想到的就是使用 xpcmdshell 和 spOACreate 来执行命令、反弹shell等等，然而很多时候这两个存储过程不是被删就是被拦截，各种各样的因素导致我们不能执行系统命令，本文就来解决这个问题。Wed, 23 Oct 2019 13:26:20 GMT渗透测试Y4erhttps://y4er.com/posts/thinkphp-upload-file/https://y4er.com/posts/thinkphp-upload-file/熟悉 thinkphp 的应该知道， upload() 函数不传参时为多文件上传，整个 $FILES 数组的文件都会上传保存。Wed, 23 Oct 2019 12:58:17 GMT代码审计Y4erhttps://y4er.com/posts/java-deserialization-1/https://y4er.com/posts/java-deserialization-1/java反序列化学习 序列化是将面向对象中的对象转化为文件的过程，通过在流中使用文件可以实现对象的持久存储。 和PHP一样，java中也有序列化和反序列化，先来看下最基本的反序列化代码。 反序列化demo。Mon, 14 Oct 2019 12:55:59 GMT代码审计Y4erhttps://y4er.com/posts/bypass-mysql-yunsuo/https://y4er.com/posts/bypass-mysql-yunsuo/我手工测得时候发现云锁对盲注友好的很，对于and之后的比较运算符以及字符串截取函数几乎上不拦截，甚至是不用绕。Sat, 12 Oct 2019 14:46:46 GMTMySQL, SQL 注入, WAF 绕过, 云锁渗透测试Y4erhttps://y4er.com/posts/bypass-mysql-safedog/https://y4er.com/posts/bypass-mysql-safedog/其实配合MySQL5.7的特性可以使用sys这个库来绕过，具体看chabug发的文章吧 注入bypass之捶狗开锁破盾。Thu, 10 Oct 2019 13:58:09 GMTMySQL, SQL 注入, WAF 绕过, 安全狗渗透测试Y4erhttps://y4er.com/posts/metinfo7-sql-tips/https://y4er.com/posts/metinfo7-sql-tips/跟汤姆表哥再搞创宇的年度任务🤒，昨天发了metinfo6.2.0的组合拳，今天看了看官网有最新版的7.0，就下下来看了看，发现两枚注入，而且昨天的组合拳虽然增加了后缀校验，绕不过去了，呜呜呜。Sat, 28 Sep 2019 14:11:39 GMTcode代码审计Y4erhttps://y4er.com/posts/guangdong-qwbctf-writeup/https://y4er.com/posts/guangdong-qwbctf-writeup/过滤字符数字下划线等等 长度小于等于27 然后调用GetYourFlag()函数即可，可以用按位取反。Thu, 12 Sep 2019 01:06:02 GMTCTFCTF笔记Y4erhttps://y4er.com/posts/nginx-lua-backdoor/https://y4er.com/posts/nginx-lua-backdoor/安装有ngxlua模块，在openresty和tengine中是默认安装了ngxlua模块的。Sun, 01 Sep 2019 09:35:59 GMTbackdoor渗透测试Y4erhttps://y4er.com/posts/encrypt-reverse-shell/https://y4er.com/posts/encrypt-reverse-shell/在我们实际的渗透测试过程中，总是有各种各样的流量审查设备挡住我们通往system的道路，尤其是在反弹shell的时候，明文传输的shell总是容易断，那么本文介绍一种利用openssl反弹流量加密的shell来绕过流量审查设备。Mon, 26 Aug 2019 04:55:07 GMTreverse, shell渗透测试Y4erhttps://y4er.com/posts/no-column-name-injection/https://y4er.com/posts/no-column-name-injection/死活查不出来，应该是过滤了column关键字，没有列名怎么查出来数据呢？？？Thu, 22 Aug 2019 12:41:24 GMTCTFCTF笔记Y4erhttps://y4er.com/posts/laravel58-pop-chain/https://y4er.com/posts/laravel58-pop-chain/在@mochazz师傅的博客里看到了Laravel的反序列化pop链，记录一下。Thu, 22 Aug 2019 05:58:08 GMTcode, 反序列化代码审计Y4erhttps://y4er.com/posts/zzzphp-rce/https://y4er.com/posts/zzzphp-rce/zzzphp是一款php语言开发的免费建站系统，以简单易上手的标签、安全的系统内核、良好的用户体验为特点，是站长建站的最佳选择。Wed, 21 Aug 2019 14:28:44 GMTcode代码审计Y4erhttps://y4er.com/posts/unserialize/https://y4er.com/posts/unserialize/在php中，序列化函数是serialize()，我们先来写一个简单的序列化。Sat, 17 Aug 2019 05:52:31 GMTunserialize, PHP代码审计Y4erhttps://y4er.com/posts/webshell-bypass/https://y4er.com/posts/webshell-bypass/可以发现的规律是当已经定义的变量和循环的变量名一致时，D盾就不是那么敏感了。Mon, 12 Aug 2019 13:10:02 GMTbypassbypassY4erhttps://y4er.com/posts/dump-clipboard-image/https://y4er.com/posts/dump-clipboard-image/我是一个喜欢记笔记写文章的菜鸡，而使用markdown记笔记最蛋疼的就是图片的存储问题，刚开始使用的是PicGo，可以直接截图然后粘贴就是markdown的图片语法，但是使用的是第三方的图床。Tue, 30 Jul 2019 00:57:16 GMTPowerShell瞎折腾Y4erhttps://y4er.com/posts/port-forwarding/https://y4er.com/posts/port-forwarding/本文主要介绍几种内网中常用的端口转发以代理的几种姿势。阅读本文前请看到每个阶段的网络环境，对理解本文有重要帮助。Tue, 23 Jul 2019 02:40:37 GMTportforward渗透测试Y4erhttps://y4er.com/posts/reverse-shell-bypass/https://y4er.com/posts/reverse-shell-bypass/在我们渗透测试的过程中，最常用的就是基于tcp/udp协议反弹一个shell，也就是反向连接。Fri, 19 Jul 2019 01:24:46 GMTshell渗透测试Y4erhttps://y4er.com/posts/scms-blind-injection/https://y4er.com/posts/scms-blind-injection/闲着无聊，看到cnvd上昨天爆出来一个scms的注入，今天分析一下。Tue, 16 Jul 2019 05:02:33 GMT代码审计代码审计Y4erhttps://y4er.com/posts/discuz-ml-exec-code/https://y4er.com/posts/discuz-ml-exec-code/source/class/discuz/discuzapplication.php 305行，发现是从cookie中拿到language的值。Thu, 11 Jul 2019 12:48:12 GMTexec, code代码审计Y4erhttps://y4er.com/posts/nginx-rewrite/https://y4er.com/posts/nginx-rewrite/url重写是指通过配置conf文件，以让网站的url中达到某种状态时则定向/跳转到某个规则，比如常见的伪静态、301重定向、浏览器定向等。Sun, 07 Jul 2019 10:27:56 GMTnginx瞎折腾Y4erhttps://y4er.com/posts/seekbook-adblock/https://y4er.com/posts/seekbook-adblock/smali的代码像屎一样，我们用dex2jar来转换成java代码看。Tue, 02 Jul 2019 06:56:03 GMTapp, reverseAPP相关Y4erhttps://y4er.com/posts/insterest-shell/https://y4er.com/posts/insterest-shell/源代码是这样的。其实刚拿到这个shell的时候我挺蒙的，不知道该怎么去利用，然后分析了一下，发现其实也还简单，下面我们一起来看下。Sun, 30 Jun 2019 05:29:56 GMTPHP, shell代码审计Y4erhttps://y4er.com/posts/awd-note/https://y4er.com/posts/awd-note/禁止修改文件夹内容chattr -R +i /var/www/html。Tue, 18 Jun 2019 00:48:13 GMTawd, noteCTF笔记Y4erhttps://y4er.com/posts/mysql-read-client-file/https://y4er.com/posts/mysql-read-client-file/我们可以伪造一个 MySQL 的服务端，甚至不需要实现 MySQL 的任何功能（除了向客户端回复 greeting package），当有客户端连接上这个假服务端的时候，我们就可以任意读取客户端的一个文件，当然前提是运行客户端的用户具有读取该文件的权限。Thu, 23 May 2019 12:31:28 GMTMySQL渗透测试Y4erhttps://y4er.com/posts/download-shell/https://y4er.com/posts/download-shell/在上一篇文章中，提到了下载shell的一些姿势，我们这篇文章来深入探究下。Thu, 23 May 2019 06:11:16 GMTshell, download渗透测试Y4erhttps://y4er.com/posts/mssql-getshell/https://y4er.com/posts/mssql-getshell/本文全文转载404师傅的MSSQLSQLBYPASS，根据自己理解略有修改。Tue, 21 May 2019 14:19:55 GMTmssql, shell渗透测试Y4erhttps://y4er.com/posts/mssql-injection-learn/https://y4er.com/posts/mssql-injection-learn/存储过程是一组为了完成特定功能的SQL 语句集，它存储在数据库中，一次编译后永久有效，用户通过指定存储过程的名字并给出参数（如果该存储过程带有参数）来执行它。实际上就是一个封装好的函数，具有面向对象特点。Fri, 17 May 2019 04:46:13 GMTmssql, SQL渗透测试Y4erhttps://y4er.com/posts/downimg2local/https://y4er.com/posts/downimg2local/新浪图床挂了之后我的博客图片挂了一大堆，今天写了个脚本来解决下。Thu, 09 May 2019 09:34:21 GMT图床, python代码片段Y4erhttps://y4er.com/posts/variable-coverage/https://y4er.com/posts/variable-coverage/全局变量注册，本特性已自 PHP 5.3.0 起废弃并将自 PHP 5.4.0 起移除。Thu, 09 May 2019 05:09:07 GMTCTF, PHP代码审计Y4erhttps://y4er.com/posts/iscc-2019/https://y4er.com/posts/iscc-2019/注册用户名为admin'#，然后修改密码，用修改后的密码登录admin账号即可拿到flag。Wed, 01 May 2019 10:02:17 GMTCTFCTF笔记Y4erhttps://y4er.com/posts/mysql-injection-learn/https://y4er.com/posts/mysql-injection-learn/informationschema informationschema这这个数据库中保存了MySQL服务器所有数据库的信息。 如数据库名，数据库的表，表栏的数据类型与访问权限等。Tue, 30 Apr 2019 08:05:52 GMTMySQL, injection渗透测试Y4erhttps://y4er.com/posts/oecms-audit/https://y4er.com/posts/oecms-audit/@ershiyi发我一个网站，让我拿shell，看了下是oecmsv3.0的源码，并且二次开发过。有后台的账号和密码，关键在于怎么getshell，所以sql注入的点我没看。以下是审计结果。Mon, 15 Apr 2019 05:06:38 GMTaudit代码审计Y4erhttps://y4er.com/posts/code-exec/https://y4er.com/posts/code-exec/如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。Wed, 10 Apr 2019 11:56:16 GMTcode, exec代码审计Y4erhttps://y4er.com/posts/faka-hack/https://y4er.com/posts/faka-hack/前天找了点域渗透的环境和资料，都是百度云盘存储的，一个镜像十几个g，下不下来，发现网上有卖百度云VIP账号的，都是一些发卡网，刚好自己最近在学代码审计，就想着下载一套源码自己看看能不能审出漏洞。没想到还真看出来了点东西。Wed, 03 Apr 2019 05:18:55 GMTPHP, SQL, vip代码审计Y4erhttps://y4er.com/posts/php-anti-cross-site-dir/https://y4er.com/posts/php-anti-cross-site-dir/在一些渗透测试遇到的环境中，有的时候我们会发现shell所能访问的目录非常有限，可能只有当前网站的一个根路径，当我们需要从旁站拿目标站点的shell时往往被局限于此。这篇文章就是研究下php的防跨站跨目录的一个安全配置。Fri, 29 Mar 2019 07:53:11 GMTPHP渗透测试Y4erhttps://y4er.com/posts/pentest-03-14/https://y4er.com/posts/pentest-03-14/在上一篇文章之后，大家的反应出乎我的意料，可能是因为出于某些问题，此类文章较少较小众。我希望我可以通过文章记录的形式，来将经验和思路分享给大家，也欢迎大家找我交流经验。文笔不好，如有错误，欢迎斧正。Thu, 14 Mar 2019 13:04:09 GMTpentest渗透测试Y4erhttps://y4er.com/posts/pentest-03-12/https://y4er.com/posts/pentest-03-12/四处上传，首先尝试编辑器处上传图片，经验告诉我越low的编辑器越好拿shell。Tue, 12 Mar 2019 13:11:41 GMTpentest渗透测试Y4erhttps://y4er.com/posts/ubuntu-dirty-sock/https://y4er.com/posts/ubuntu-dirty-sock/在2019年1月，由于snapd API中的错误，多个版本的Ubuntu被发现本地权限提升漏洞。Sat, 16 Feb 2019 06:55:14 GMTCVE, ubuntu漏洞复现Y4erhttps://y4er.com/posts/apache-nginx-webshell/https://y4er.com/posts/apache-nginx-webshell/getdefinedvars()、getallheaders()是两个特性函数，我们可以通过这两个函数来构造我们的webshell。Fri, 25 Jan 2019 13:20:47 GMTapache, nginx, shell, bypassbypassY4erhttps://y4er.com/posts/python-logging/https://y4er.com/posts/python-logging/最近一直想自己的批量框架，参考了POC-T框架和sqlmap的框架结构，发现logging模块被大量用来处理控制台输出以及日志记录，鉴于我自己也要写框架，那么本文就记录下我的logging模块学习记录。Sun, 13 Jan 2019 04:17:40 GMTpython, logging代码片段Y4erhttps://y4er.com/posts/seacmsv72-anyfile-del-getshell/https://y4er.com/posts/seacmsv72-anyfile-del-getshell/海洋cms是为解决站长核心需求而设计的视频内容管理系统，适用于各大视频站点，支持自定义模板和解析接口，是各大视频站长的不错选择之一。官方版本已经在2019年1月10日更新版本到v8.1，请尽快更新版本。Thu, 10 Jan 2019 13:17:21 GMTgetshell代码审计Y4erhttps://y4er.com/posts/cve-2017-8570/https://y4er.com/posts/cve-2017-8570/CVE-2017-8570是一个PowerPoint演示文稿的漏洞，利用方法简单且危害较大。攻击者只需要将生成的恶意ppsx（ppsx是office2007版以后的演示文稿的保存格式）文档发送给用户，用户打开放映后就会中招。Mon, 07 Jan 2019 15:01:31 GMTCVE漏洞复现Y4erhttps://y4er.com/posts/niushop-getshell/https://y4er.com/posts/niushop-getshell/Niushop开源商城采用thinkphp5.0+MySQL开发语言开发,完全开源商城系统,可以用于企业,个人建立自己的网上免费商城,支持开源微信商城,开源小程序,开源新零售。Mon, 07 Jan 2019 07:37:37 GMTgetshell, PHP代码审计Y4erhttps://y4er.com/posts/fuck-qiandao/https://y4er.com/posts/fuck-qiandao/学校每天晚上让用一个垃圾app签到就寝，没办法，写了个脚本来解放双手。Sun, 23 Dec 2018 14:44:13 GMTcode代码片段Y4erhttps://y4er.com/posts/phpmyadmin-any-file-include/https://y4er.com/posts/phpmyadmin-any-file-include/2018年12月7日，phpmyadmin官方发布公告修复了一个由Transformation特性引起的任意文件包含漏洞。Thu, 20 Dec 2018 00:34:43 GMTphpmyadmin, include代码审计Y4erhttps://y4er.com/posts/typora-exec/https://y4er.com/posts/typora-exec/Typora是一个颜值和实力并存的markdown编辑器，我也在用。Typora基于Electron框架进行开发，今天看到了就复现下这个漏洞。Thu, 20 Dec 2018 00:30:03 GMTremote, command, typora漏洞复现Y4erhttps://y4er.com/posts/scms-sql-download/https://y4er.com/posts/scms-sql-download/这个注入比较简单，首先需要注册登录拿到session，然后$Bsort无过滤直接从post中获取，虽然select查询用intval过滤了，但是后面的insert语句并没有过滤，构成注入。Tue, 18 Dec 2018 13:23:03 GMTSQL代码审计Y4erhttps://y4er.com/posts/phpcms2008-type-getshell/https://y4er.com/posts/phpcms2008-type-getshell/phpcms2008老版本type.php存在代码注入可直接getshell。不过版本过低，使用人数较少，影响范围较小，当作拓展思路不错。Sun, 16 Dec 2018 11:21:52 GMTgetshell, PHP代码审计Y4erhttps://y4er.com/posts/java-servlet/https://y4er.com/posts/java-servlet/两周的Java实训结束了，学了一个servlet做接口，给前端提供数据支持，记下笔记，免得以后忘了。Sun, 16 Dec 2018 06:31:11 GMTJava, web代码审计Y4erhttps://y4er.com/posts/hello-world/https://y4er.com/posts/hello-world/选择恐惧症，感觉哪个主题都好看，最后选用了maupassant。这个主题还算比较符合我的要求。贴上我修改完主题之后的Github，欢迎issue、pr、star。Sat, 08 Dec 2018 04:32:42 GMThugo瞎折腾Y4er