Hack All Sec 的博客常见的Web漏洞——反序列化漏洞
漏洞简介序列化：把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。反序列化：把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。例如将二进制数据流或文件加载到内存中还原为对象。反序列化漏洞首次出现在2015。虽然漏洞较新，但利用十分热门，主要原因还是太过信任客户端提交的数
记录对某医院的一次攻防实战
信息收集医院主域名为静态页面，通过域名解析发现真实IP，扫描服务器端口后未找到已知漏洞，子域名枚举未发现有用信息，扫描目录未发现可利用信息，使用搜索引擎搜索发现致远OA系统。漏洞发现&利用使用GitHub找到的工具一把梭未发现漏洞，也没找到弱口令。此时有个冷知识大家或许不知道，FineReport的漏洞大家都知道了，但是致远的一些版本也是使用了FineReport的，只不过默认路径是seeyonr