爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

Spring WebFlux参数处理过程与Content-type绕过浅析

# Spring WebFlux参数处理与Content-type绕过分析 ## 1. Spring WebFlux概述 Spring WebFlux是Spring Framework提供的用于构建响应式Web应用的模块，基于Reactive编程模型实现。它使用了Reactive Streams规范，并提供了一套响应式的Web编程模型，以便于处理高并发、高吞吐量的Web请求。 ## 2. 参数处理过程分析 ### 2.1 请求处理流程 1. **前端控制器**：DispatcherHa

2025-08-18 16:53:25

Java安全 - CommonsCollections链全系列详解

# Apache Commons Collections反序列化漏洞全系列详解 ## 前言 Apache Commons Collections (CC)反序列化漏洞是Java安全领域的重要课题。本文全面解析CC1-CC6漏洞链，涵盖TransformedMap、LazyMap、TemplatesImpl等多种利用方式，深入分析各链的构造原理和利用技巧。 ## 环境配置基础环境： ```xml commons-collections commons-collectio

2025-08-18 16:52:25

Java安全 - FastJson系列详解

# Fastjson反序列化漏洞全面解析 ## 一、Fastjson基础 ### 1. Fastjson简介 Fastjson是阿里巴巴开发的高性能JSON处理库，主要用于JSON与Java对象之间的转换。主要接口： - `JSON.toJSONString()`：序列化（对象→JSON） - `JSON.parseObject()`/`JSON.parse()`：反序列化（JSON→对象） ### 2. 基本使用示例 ```java // 序列化示例 Student student =

2025-08-18 16:50:10

大模型安全测试入门指南

# 大模型安全测试入门指南 ## 1. 大模型(LLM)基础概念 ### 1.1 大模型的定义与定位大模型(LLM, Large Language Model)是基于神经网络算法实现的AI技术，具有以下特征： - 模型规模巨大（参数量在千亿级别） - 训练所需算力巨大 - 使用数据量级巨大从技术定位来看，大模型属于自然语言处理(NLP)领域，用于计算机表示和处理人类语言。 ### 1.2 语言模型原理语言模型的本质是"完型填空"： - 根据已有输入预测后续内容 - 类似输入法的

2025-08-18 16:48:49

不懂js遇到前端加密该如何进行js逆向

# 前端加密JS逆向分析实战指南 ## 前言在Web安全测试中，前端加密和sign签名是常见的防护手段。本文针对不熟悉JavaScript的安全测试人员，提供一套完整的JS逆向分析方法，帮助定位和破解前端加密逻辑。 ## 常见加密类型 1. **对称加密**：AES、DES 2. **非对称加密**：RSA 3. **哈希算法**：MD5 4. **签名机制**：sign（通常是对提交数据和时间戳的组合加密） ## 关键词定位法 ### 常用搜索关键词 - 加密相关：`encry

2025-08-18 16:38:07

JNDI注入学习

# JNDI注入攻击原理与防御详解 ## 1. JNDI基础概念 JNDI（Java Naming and Directory Interface）是用于目录服务的Java API，它允许Java客户端通过名称发现和查找数据和资源（以Java对象的形式）。JNDI独立于底层实现，并指定了一个服务提供者接口(SPI)，允许将目录服务实现插入到框架中。 ## 2. JNDI注入原理 JNDI注入的核心在于当JNDI接口在初始化时（如`InitialContext.lookup(URI)`），

2025-08-18 16:37:28

PHP session 常见利用点

# PHP Session 安全利用详解 ## 0x1 PHP Session 简介 ### 0x1.1 基本概念 Session（会话控制）是用于存储特定用户会话所需的属性及配置信息的机制。在PHP中： - Session变量保存的信息是单一用户的，可供应用程序中的所有页面使用 - 为每个访问者创建唯一ID(UID)，基于此UID存储变量 - UID存储在cookie中或通过URL传递 ### 0x1.2 会话流程 1. 会话开始时，PHP尝试从请求中查找会话ID（通常通过会话coo

2025-08-18 16:36:21

CTF中的反序列化考点总结从0到1

# PHP反序列化漏洞从0到1全面指南 ## 一、PHP类和对象基础 ### 1. 基本概念 - **类**：对一类事物的抽象概念（如"汽车"） - **对象**：类的具体实例（如"我的宝马"） - 创建类：使用`class`关键字 ```php class Car { // 类内容 } ``` ### 2. 类成员 - **成员属性**：类中定义的变量 - **方法**：类中定义的函数 - **成员常量** ### 3. 访问权限 | 权限 | 说明 | 外部访问 | 类内部访

2025-08-18 16:34:56

CORS解决方案汇总

# CORS跨域资源共享安全配置指南 ## 1. CORS基础概念 ### 1.1 CORS定义 CORS全称"跨域资源共享"(Cross-origin resource sharing)，是一种用于绕过SOP(同源策略)来实现跨域资源访问的技术。 ### 1.2 CORS与SOP的关系 - SOP(同源策略)限制了网页的业务需求，不能使不同域的网页互相访问 - CORS的出现是为了弥补SOP的不足 ### 1.3 CORS漏洞攻击者利用CORS技术获取用户敏感数据，导致信息泄露的安全

2025-08-18 16:33:42

10大Web应用安全威胁及防护建议

# Web应用十大安全威胁及防护指南 ## 1. 访问控制中断 **威胁概述**： - 70%的Web应用存在访问控制问题 - 风险分布：50%中等风险，37%高风险 - 可能导致非法访问内部服务、财务损失等严重后果 **防护措施**： - 实施基于角色的访问控制(RBAC)模型 - 默认拒绝所有访问(除非应用需公开访问) - 严格验证所有提交的数据 - 实现最小权限原则 ## 2. 数据泄露 **威胁概述**： - 普遍存在于Web应用中 - 包含大量低风险漏洞，但也有高风险案例 -

2025-08-18 16:32:34

记一次外网打点提权到内网横向(学习笔记一)

# 外网打点提权到内网横向渗透学习笔记 ## 一、信息收集阶段 ### 1. 资产发现 - 使用fofa进行目标资产探测，语法示例： ``` title="目标公司名称" domain="目标域名" ip="目标IP段" ``` ### 2. 端口扫描 - 使用nmap进行全端口扫描： ``` nmap -p- -T4 -v -oA allports ``` - 对开放端口进行服务识别： ``` nmap -sV -sC -p

2025-08-18 16:31:47

windows权限提升-WIN提权

# Windows权限提升技术详解 ## 一、Windows权限基础 ### 1.1 默认用户组权限 Windows系统内置了多个本地用户组，每个组拥有不同的权限： 1. **管理员组(Administrators)**：拥有大部分计算机操作权限，能修改系统设置和所有文件 2. **高权限用户组(Power Users)**：能执行大部分操作，但不能修改系统设置 3. **普通用户组(Users)**：受限在自己的用户空间，不能处理其他用户文件 4. **备份操作组(Backup Ope

2025-08-18 16:30:55

跳转到页