代码审计 第5页
排序
.NET高级代码审计（第八课）SoapFormatter反序列化漏洞(hibernate反序列化漏洞)
0x00 前言SoapFormatter格式化器和下节课介绍的BinaryFormatter格式化器都是.NET内部实现的序列化功能的类，SoapFormatter直接派生自System.Object，位于命名空间System.Runtime.Serialization....
1个月前
.NET高级代码审计（第六课） DataContractSerializer反序列化漏洞
0X00 前言DataContractSerializer类用于序列化和反序列化Windows Communication Foundation (WCF) 消息中发送的数据，用于把CLR数据类型序列化成XML流，它位于命名空间System.Runtime...
1个月前
从代码审查视角看软件质量(软件代码评审)
理论基础软件质量是软件与明确地叙述的功能和性能需求、文档中明确描述的开发标准以及任何专业开发的软件产品都应该具有的隐含特性相一致的程度。作为软件开发人员怎样保证所研发的软件产品是一...
1个月前
Spring Security 02 — Basic Introduction Part II
Spring Security 5.1.4 RELEASE书接上文，在上一篇中介绍了Spring Security的基本组件以及基本的认证流程，此篇介绍一下Spring Security的一些核心服务。2 核心服务Spring Security中还有许多十...
1个月前
CSRF漏洞有几种常见类型?(csrf漏洞的危害有哪些)
一、什么是CSRF漏洞?CSRF跨站请求伪造，主要表现为：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，例如以你的名义...
1个月前
跨站脚本漏洞(跨站脚本漏洞的英文缩写)
一、什么是跨站脚本漏洞?从用户控制的输入到输出之前，软件没有对其进行过滤或没有正确过滤，这些输出用作向其他用户提供服务的网页。二、跨站脚本(XSS)漏洞通常在哪些情况下发生?1、不可信数据...
1个月前
敏感信息的明文传输漏洞
一、什么是敏感信息的明文传输漏洞?程序在通信时以明文形式传输敏感或重要数据，这些数据可能被未经授权的攻击者嗅探。简单点来说就是当我们在网站上面提交敏感数据到服务器的过程中未进行相关...
1个月前
.NET高级代码审计（第三课）Fastjson反序列化漏洞(.net json反序列化)
0X00 前言Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序...
1个月前
finalize()方法声明为public缺陷构成条件有哪些?
本文旨在科普软件安全相关知识，助力企业有效防范软件安全漏洞，提升网络安全防护能力。final修饰符(关键字)，若类被声明为final，意味着它不能再派生出新的子类，不能作为父类被继承。因此一个...
1个月前
资源未关闭/释放漏洞(资源受限是什么意思)
一、什么是资源未关闭/释放?在使用临时或配套资源后，软件没有正确“清理”和删除这些资源。二、资源未关闭/释放漏洞构成条件有哪些?满足以下条件，就构成了一个该类型的安全漏洞：1、软件在使...
1个月前