JavaSec

0.For Me

仅仅只是想写给自己看

一个记录我Java安全学习过程的仓库，本仓库不是真正意义上的教学仓库(rep中的内容都是我在平时的一些笔记没有很强逻辑性，内容水平自然也是参差不齐，可能有些对我来说很简单的便忽略不计对其他人来说却是难点，因此作为一个学习目录的话可能会好很多)，单纯这是笔者简单记一些笔记，顺便见证自己从0到0.1的过程吧，另外后面如果看到一些好的东西在学习完之后也会贴上链接，少了很多介绍性的东西，以后等厉害了再慢慢补充吧.当然如果感觉还不错的话，师傅们记得给个 Star 呀 ~

@Y4tacker

2021年10月18日，梦的开始

1.基础篇

1.1 Java安全基础技术补充（建议优先掌握）

• JVM 规范与字节码基础（必修）
• The Java Virtual Machine Specification (Java SE 17)（官方 JVM 规范，理解类加载、字节码验证、方法调用语义）
• Java Platform, Standard Edition VM Guide (JDK 17)（JVM 调优与运行机制入门）
• Java语言与并发内存模型（必修）
• Java Language Specification（语言行为、反射/泛型/异常等语义来源）
• JEP 290: Filter Incoming Serialization Data（反序列化防护基础，Java 安全核心知识点）
• 常见漏洞知识体系（必修）
• OWASP Top 10: 2021（Web 应用通用风险基线）
• CWE-502: Deserialization of Untrusted Data（Java 反序列化高频风险权威定义）
• OWASP: XML External Entity Prevention Cheat Sheet（XXE 防护建议，可对应本仓库 XXE 学习）
• Java Web 运行时与组件安全（必修）
• Jakarta Servlet Specification（理解 Filter/Servlet/Listener 生命周期，对内存马与链路分析非常关键）
• Apache Tomcat Documentation（容器行为与安全配置参考）
• 依赖与供应链安全（建议尽早）
• OWASP Dependency-Check（Java 依赖漏洞扫描基础工具）
• Maven: Introduction to the Dependency Mechanism（理解传递依赖，定位 gadget 来源）
• 编码防护与审计基线（建议配合实战）
• OWASP Java Security Cheat Sheet
• OWASP Code Review Guide（建立 Java 代码审计检查项）

1.2 建议学习顺序（面向 Java 安全）

1. JVM/JLS 基础 -> 2. 类加载与反射/动态代理 -> 3. 序列化与 JEP 290 -> 4. Servlet/Tomcat 生命周期 -> 5. 常见漏洞体系（OWASP/CWE）-> 6. 依赖与供应链安全。

• Java反射
• 补充:通过反射修改用final static修饰的变量
• Java动态代理
• JNDI注入
• 反序列化
• 类加载器与双亲委派模型
• 两种实现Java类隔离加载的方法(当然同名目录下也有pdf，防止以后站不在了)
• ClassLoader(类加载机制)
• SPI学习
• JavaAgent
• Java9模块化特性
• JMX
• JMX补充学习这哥们写的不错
• JDWP远程执行命令
• Tomcat中容器的pipeline机制(学了以后更好帮助Tomcat-Valve类型内存马理解)
• ASM学习+Class文件结构了解+JVM一些简单知识
• Xpath注入
• JSTL(看菜鸟教程即可)
• JEP290基础概念
• Java中的XXE
• XML 相关漏洞风险研究(关于XML结构方面的介绍可以看看这篇文章，浅显易懂)
• XML外部实体注入（XXE）攻击方式汇总(关于XXE可以延伸继续看看)
• No-FTP:高版本JDK如何通过XXE-OOB读取多行文件(Windows)
• 绕过WAF保护的XXE(一些通用的流量混淆方式)
• 通过反射扫描被注解修饰的类
• 低版本下Java文件系统00截断
• 有趣的XSS之Normalize
• 红队-java代码审计生命周期(带你简单了解审计)

2.反序列化

很早前学了，后面补上，更多是说一点关键的东西，不会很详细，好吧这里再拓展成反序列化专区好了

如果想系统学习CC链、CB链的话这部分还是推荐p牛的Java安全漫谈，我只是简单写写便于自己复习而已(这部分看我下面的share并不适合新人，过了这么久看过网上很多文章还是觉得P牛写的更适合新人)

2.1 反序列化基础技术补充（建议先补理论再看链子）

• 官方机制与防护入口（必修）
• Java Object Serialization Specification（序列化协议、readObject/writeObject、serialVersionUID等基础语义）
• JEP 290: Filter Incoming Serialization Data（全局/上下文过滤器设计思路）
• 漏洞定义与防御基线（必修）
• CWE-502: Deserialization of Untrusted Data（风险定义、常见后果与缓解建议）
• OWASP Deserialization Cheat Sheet（工程侧防护 checklist）
• 工具与实践（建议配合靶场）
• ysoserial（理解 gadget chain 构造与触发路径的经典工具）

2.2 建议学习顺序（反序列化）

1. 先读序列化规范 -> 2. 理解 ObjectInputStream 触发路径 -> 3. 学 URLDNS/CC 等入门链 -> 4. 学 JEP 290 与白名单过滤 -> 5. 再看特定框架（Hessian/XStream/SnakeYAML）利用。

2. Java 反序列化取经路(强推)

3. Java反序列化之URLDNS
4. CommonsCollections1笔记
5. CommonsCollections2笔记
6. CommonsCollections3笔记
7. CommonsCollections5笔记
8. CommonsCollections6-HashSet笔记
9. CommonsCollections6-HashMap笔记
10. CommonsCollections6-Shiro1.2.4笔记
11. CommonsCollections7笔记
12. CommonCollectionsWithoutChainedTransformer
13. 使用TemplatesImpl改造CommonsCollections2
14. 网上看到的套娃CommonsCollections11
15. CommonsBeanutils1笔记
16. CommonsBeanutils1-Shiro(无CC依赖)
17. FileUpload1-写文件\删除文件
18. C3P0利用链简单分析
19. C3P0Tomcat不出网利用(思路就是之前高版本JNDI注入的思路)
20. 反制Ysoserial0.0.6版本-JRMP
21. SnakeYAML反序列化及可利用Gadget
22. SnakeYAML出网探测Gadget(自己瞎琢磨出来的，不过在1.7以下版本就不行)
23. XStream反序列化学习
24. 解决反序列化serialVesionUID不一致问题(BestMatch：打破双亲委派对jbxz用工具最方便)
25. 自己搞的把ROME利用链长度缩小4400-1320(Base64)
26. JDK7u21
27. AspectJWeaver写文件
28. 反序列化在渗透测试当中值得关注的点
29. UTF-8 Overlong Encoding导致的安全问题(在绕过流量设备上非常有帮助)
30. 构造java探测class反序列化gadget
31. 对URLDNS探测class的补充(为什么本地明明没有这个类却有"DNS解析")
32. 利用Swing构造反序列化SSRF/RCE(JDK CVE-2023-21939)
33. Hessian反序列化

34. Hessian 反序列化知一二

35. hessian-only-jdk利用补充

36. hessian-onlyjdk-jdk11+jdk.jfr.internal.Utils利用补充

3.Fastjson/Jackson专区

可以对比jackson简单学习下，这里我也会简单提一下jackson的一些利用，当然不会很详细，但是会简单列出一些触发原理，而且有些payload是共通的，这里也不以收集各个依赖下利用的payload为主

3.1 JSON反序列化基础技术补充（Fastjson / Jackson）

• Jackson（必修）
• Jackson Polymorphic Deserialization CVE Criteria（官方维护者对“可利用条件”的边界说明）
• Jackson Polymorphic Deserialization Docs（@JsonTypeInfo 与 Default Typing 的行为）
• Fastjson（必修）
• fastjson2 官方仓库（默认安全策略与新版本能力演进）
• fastjson2 features_cn 文档（了解 AutoType 等特性开关，避免误配）
• 通用风险视角（建议）
• OWASP API Security Top 10（将 JSON 反序列化问题放到 API 风险体系中看）

3.2 建议学习顺序（Fastjson / Jackson）

1. 先搞清楚类型系统与自动类型机制 -> 2. 看历史漏洞成因与补丁策略 -> 3. 再学利用链触发细节 -> 4. 最后沉淀黑/白盒识别与加固 checklist。

2. Jackson

3. Jackson的利用触发及小细节(比较鸡肋仅作为学习了解)

4. Jackson原生反序列化Gadgets(实用)

   • Jackson构造过程会触发利用导致中断可通过重写类解决(附上demo学习)
   • 从JSON1链中学习处理JACKSON链的不稳定性(使用JdkDynamicAopProxy让触发更稳定)

5. Fastjson

6. Fastjson基本用法

7. [Fastjson1.1.15-1.2.4与BCEL字节码加载](https://github.com/Y4tacker/JavaSec/blob/main/3.FastJson专区/Fastjson1.1.15-1.2