JavaSec

0.For Me

仅仅只是想写给自己看

一个记录我Java安全学习过程的仓库，本仓库不是真正意义上的教学仓库(rep中的内容都是我在平时的一些笔记没有很强逻辑性，内容水平自然也是参差不齐，可能有些对我来说很简单的便忽略不计对其他人来说却是难点，因此作为一个学习目录的话可能会好很多)，单纯这是笔者简单记一些笔记，顺便见证自己从0到0.1的过程吧，另外后面如果看到一些好的东西在学习完之后也会贴上链接，少了很多介绍性的东西，以后等厉害了再慢慢补充吧.当然如果感觉还不错的话，师傅们记得给个 Star 呀 ~

@Y4tacker

2021年10月18日，梦的开始

1.基础篇

1.1 Java安全基础技术补充（建议优先掌握）

JVM 规范与字节码基础（必修）
- The Java Virtual Machine Specification (Java SE 17)（官方 JVM 规范，理解类加载、字节码验证、方法调用语义）
- Java Platform, Standard Edition VM Guide (JDK 17)（JVM 调优与运行机制入门）
Java语言与并发内存模型（必修）
- Java Language Specification（语言行为、反射/泛型/异常等语义来源）
- JEP 290: Filter Incoming Serialization Data（反序列化防护基础，Java 安全核心知识点）
常见漏洞知识体系（必修）
- OWASP Top 10: 2021（Web 应用通用风险基线）
- CWE-502: Deserialization of Untrusted Data（Java 反序列化高频风险权威定义）
- OWASP: XML External Entity Prevention Cheat Sheet（XXE 防护建议，可对应本仓库 XXE 学习）
Java Web 运行时与组件安全（必修）
- Jakarta Servlet Specification（理解 Filter/Servlet/Listener 生命周期，对内存马与链路分析非常关键）
- Apache Tomcat Documentation（容器行为与安全配置参考）
依赖与供应链安全（建议尽早）
- OWASP Dependency-Check（Java 依赖漏洞扫描基础工具）
- Maven: Introduction to the Dependency Mechanism（理解传递依赖，定位 gadget 来源）
编码防护与审计基线（建议配合实战）
- OWASP Java Security Cheat Sheet
- OWASP Code Review Guide（建立 Java 代码审计检查项）

1.2 建议学习顺序（面向 Java 安全）

JVM/JLS 基础 -> 2. 类加载与反射/动态代理 -> 3. 序列化与 JEP 290 -> 4. Servlet/Tomcat 生命周期 -> 5. 常见漏洞体系（OWASP/CWE）-> 6. 依赖与供应链安全。

2.反序列化

很早前学了，后面补上，更多是说一点关键的东西，不会很详细，好吧这里再拓展成反序列化专区好了

如果想系统学习CC链、CB链的话这部分还是推荐p牛的Java安全漫谈，我只是简单写写便于自己复习而已(这部分看我下面的share并不适合新人，过了这么久看过网上很多文章还是觉得P牛写的更适合新人)

2.1 反序列化基础技术补充（建议先补理论再看链子）

官方机制与防护入口（必修）
- Java Object Serialization Specification（序列化协议、readObject/writeObject、serialVersionUID等基础语义）
- JEP 290: Filter Incoming Serialization Data（全局/上下文过滤器设计思路）
漏洞定义与防御基线（必修）
- CWE-502: Deserialization of Untrusted Data（风险定义、常见后果与缓解建议）
- OWASP Deserialization Cheat Sheet（工程侧防护 checklist）
工具与实践（建议配合靶场）
- ysoserial（理解 gadget chain 构造与触发路径的经典工具）

2.2 建议学习顺序（反序列化）

先读序列化规范 -> 2. 理解 ObjectInputStream 触发路径 -> 3. 学 URLDNS/CC 等入门链 -> 4. 学 JEP 290 与白名单过滤 -> 5. 再看特定框架（Hessian/XStream/SnakeYAML）利用。

3.Fastjson/Jackson专区

可以对比jackson简单学习下，这里我也会简单提一下jackson的一些利用，当然不会很详细，但是会简单列出一些触发原理，而且有些payload是共通的，这里也不以收集各个依赖下利用的payload为主

3.1 JSON反序列化基础技术补充（Fastjson / Jackson）

Jackson（必修）
- Jackson Polymorphic Deserialization CVE Criteria（官方维护者对“可利用条件”的边界说明）
- Jackson Polymorphic Deserialization Docs（@JsonTypeInfo 与 Default Typing 的行为）
Fastjson（必修）
- fastjson2 官方仓库（默认安全策略与新版本能力演进）
- fastjson2 features_cn 文档（了解 AutoType 等特性开关，避免误配）
通用风险视角（建议）
- OWASP API Security Top 10（将 JSON 反序列化问题放到 API 风险体系中看）

3.2 建议学习顺序（Fastjson / Jackson）

先搞清楚类型系统与自动类型机制 -> 2. 看历史漏洞成因与补丁策略 -> 3. 再学利用链触发细节 -> 4. 最后沉淀黑/白盒识别与加固 checklist。

4.Weblogic专区(虽然也挖了一堆，暂时不想写)

5.内存马学习专区

6.JavaAgent学习专区

后面因为一些原因打算更系统学习，感觉在这里面直接添加有点臃肿，故开了一个新的repo来记录整个学习阶段，移步RaspLearning

7.Struts2学习专区

一开始不想搞这个是因为很少人用了，后面想了一下可以具体看看struts2当中对OGNL策略如何做提升处理学学别人的绕过(Ps:不教怎么复现搭建环境)

后面突然觉得调试的过程很无聊我也不感兴趣，更感兴趣的是关于Struts当中Ognl的攻防所以后面更偏向于这方面研究，而不再具体跟踪中间的调用过程

8.关于Tomcat的一些小研究

9.JDBC Attack

关于Make JDBC Attacks Brilliant Again的简单记录，当我们在 JDBC Connection URL可控的情况下，攻击者可以进行什么样的攻击？这部分可以配合探索高版本 JDK 下 JNDI 漏洞的利用方法来进行拓展攻击

10.关于JNDI的整理

因为比较重要单独列出来了

11.Spring

12.Shiro

13.回显相关技术学习

14. JSPWebshell

15.Waf

16.漏洞复现

17.模板引擎+表达式相关

18.各框架对URI处理的特性及Trick

19.ASM与JVM学习

JAVA虚拟机执行模型(关注引入了栈映射帧，用于加快虚拟机中类验证过程的速度)
What is a stack map frame
- 这里比较有意思的是：Java 1.7引入了此选项以加速类验证。框架分为两部分：变量类型和堆栈类型。第一帧由方法类型描述。在每个GOTO / JUMP调用之后，您需要提供堆栈映射框架的更新描述。为了节省空间，可以使用SAME，APPEND等选项，也可以通过指定变量类型的FULL数组再次描述所有变量。
为什么JVM需要DUP指令

20.议题

Hacking FernFlower
- 议题相关代码

其他分享

比赛反思

特地加了一栏吧，希望从比赛当中了解Java相关的东西学习一些新的点！

环境

Todolist

解决反序列化serialVesionUID不一致问题--已经拿下
Dubbo学习之后开启
无文件落地Agent型内存马植入(Java内存攻击技术漫谈-Rebyond)
自己对所有文件上传框架Trick总结
消化腾讯大师傅写的关于文件上传waf

注意事项

本仓库仅用于合法合规用途，严禁用于违法违规用途。
本工具中所涉及的漏洞均为网上已公开。

GeezerVison

Latest commit

History

Folders and files

Repository files navigation