noob weber

java反序列化入门篇-04-类加载机制前言本篇介绍的是类加载机制，既然是类加载机制，那我们需要研究的就比较底层了，需要根据源码打断点才能看清整个调用逻辑，单纯的文字知识了解，无法真正看到调用逻辑始终无法真正将这个概念植入心里，所以希望学习这块的师傅们可以自己打断点理解一下，当然我们不是只是简单的过一遍，而是真正理解他到底为什么会进到这一块代码。 类加载器什么是类加载器.java文件在编译后会生成

java反序列化入门篇-03-动态代理在这一篇中想记录一下学习代理的原理和作用，但在基础篇-01中已经用代码有一个大致的了解了，后面尽可能减少重复 java的代理模式先简单来说一下什么是代理吧，代理的本质是不修改目标类原有代码的前提下，在目标方法执行前后增加额外逻辑（增强）。 有一个代理对象，持有目标对象引用；外部调用者只和代理对象打交道，由代理对象转发请求给真实目标。而在java的代理模式中存在

java反序列化入门篇-02-反射前言在基础篇-01中我们将大致的反序列化架构和涉及的知识都介绍了一下，但想要到后面的CC链的学习，光有点皮毛还是不够的，后面几篇我们就逐步给大家丰富一下，这篇先从比较好理解的反射入手，由于前文有一定的介绍，所以后面可能不会反复提及基础的方法调用，反射方法等等，忘记的师傅们可以再翻一下第一篇 Java 命令执行的三种方式说是三种方式，但我认为只是同一条利用链的分段罢

java反序列化入门篇-01-概念初相识也是学到java了，java确实方便，各种封装好的函数随便用，整一个就是调用调用再调用，但可以利用的地方也很多，果然便利是安全最大的敌人。 什么是反序列化一步一步学过来的师傅们肯定对反序列化的定义和原理都不太陌生了，但想必以前都是接触的PHP反序列化。那java反序列化存在的意义又是什么呢？我们知道，当两个进程进行远程通信时，可以相互发送各种类型的数据，包括

什么是SQL 在菜鸟的描述中，sql是一门用于管理关系数据库管理系统（RDBMS）的结构化查询语言。SQL不同于一般的编程语言，它更接近自然语言，所以会更好理解。同时SQL+数据库的存储数据方式对比用其他编程语言的方式存储数据会更方便，用python来举例吧：python存储无非就是数组，字典等，我需要知道后面存储利用的哪种方式才可以进行查询，像数组就需要知道存储位置以及数组名a[1]，字典就需

什么是竞争条件 在处理并发请求时（例如上传文件与将文件存入数据库；支付订单与付款过程），当他们这些行为并未严格进行原子性保护，每个请求之间会存在极短的时间间隔，可通过这个极短的时间间隔实现一些恶意行为（在支付与付款期间将更多订单加入，但支付金额不变；在使用优惠卷时与优惠券核验的状态转变过程加入多步相同的优惠卷使用行为，优惠卷状态来不及更新就已经使用，使得优惠卷多次使用）。而在这个极短时间内行为

一.什么是文件包含漏洞 PHP文件包含漏洞在对服务端所利用requie()，include()，requie_once()，include_once()的不安全包含文件，在这个四个函数中，无论文件为任意类型，只要内容为php代码，就会在包含的时候自动读取代码内容并执行。 require_once() 和 include_once() 功能与require() 和 include() 类似。但如果

PHP反序列化 什么是序列化 序列化（Serialization）是将对象的状态信息（属性）转换为可以存储或传输的形式的过程。 他的目的就是存储对象信息，所以对象—>字符串，将对象或者数组转换为可存储/运输的字符串 介绍一点格式： 1234567891011空字符： null—>N;整型： 666 —>i:666;浮点型： 66.6—>d:66.6;Boole

一.什么是XXE漏洞 xxe漏洞是基于利用xml进行数据传输时，xml规范包含各种潜在危险功能。且xml可利用dtd定义外部实体，这可作为一个有效利用的点（但dtd逐渐被xml schema替代，后面要对其学习并转变利用） 顺便提一下JSON和XML都是用来传输数据的，为什么XXE是出现在XML中的，而没有出现在JSON中。其根本的原因就是XML和JSON两者对比最根本的区别是XML 是“可执行

xss都快忘得差不多，赶快再来read一下，这次好好吃细点 原理 什么是xss呢？ xss全名Cross-site scripting，简单来说就是前端页面存在可写入风险，黑客通过特殊的手段往网页中插入了恶意的 JavaScript 脚本，从而在用户浏览网页时，对用户浏览器发起 Cookie 资料窃取、会话劫持、钓鱼欺骗等各攻击 。 xss三种类型 反射型 反射型也称作非持久型、参数