點(diǎn)擊藍(lán)字

關(guān)注我們

聲明

本文作者：flashine

本文字?jǐn)?shù)：2382

閱讀時(shí)長：20分鐘

附件/鏈接：點(diǎn)擊查看原文下載

聲明：請勿用作違法用途，否則后果自負(fù)

本文屬于WgpSec原創(chuàng)獎(jiǎng)勵(lì)計(jì)劃，未經(jīng)許可禁止轉(zhuǎn)載

前言

          之前做項(xiàng)目在內(nèi)網(wǎng)測到了一個(gè)fastjson反序列化漏洞，使用dnslog可以獲取到ip，但是通過burp請求在vps搭建的rmi服務(wù)時(shí)發(fā)現(xiàn)rmi服務(wù)監(jiān)聽的端口有收到請求，但是http服務(wù)沒有收到請求，所以就研究一下不出網(wǎng)的fastjson怎么利用。

0x00 

利用方式

目前公開已知的poc有兩個(gè)：

com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl

org.apache.tomcat.dbcp.dbcp2.BasicDataSource

總結(jié)

以上是生活随笔為你收集整理的c++运行不出结果_fastjson 不出网利用总结的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。