SQL注入-安全版：参数化查询，相同 payload 无法注入

创建安全管理器

场景2：恶意对象序列化演示 - 将BadPerson对象序列化为文件

根据传入的Person对象进行序列化

场景1：基础序列化演示 - 将Person对象序列化为文件

Jackson序列化和反序列化介绍 - 基础功能演示

根据传入的Person对象进行JSON序列化

根据传入的Person对象进行XML序列化

场景3：URLDNS链序列化演示 - 生成URLDNS链序列化文件

创建ShiroFilterFactoryBean

Shiro登录接口

Shiro登出

Shiro未授权页面

SnakeYAML安全代码接口 使用SafeConstructor防止反序列化漏洞

测试正常YAML解析

SnakeYAML反序列化漏洞接口 使用默认的Yaml构造函数，存在反序列化漏洞

SpEL表达式注入 - 不安全的黑名单过滤（可被绕过） 尝试通过黑名单过滤危险字符，但过滤不完善，存在绕过方式 绕过方式示例： 1. 使用字符串拼接绕过：''.class.forName('java.la'+'ng.Ru'+'ntime') 2. 使用反射绕过：''.class.getClass(

SpEL表达式注入 - 安全代码 使用SimpleEvaluationContext，限制SpEL的能力 只允许访问属性和调用预定义的方法，不能执行任意代码

SpEL表达式注入 - 漏洞代码 使用StandardEvaluationContext，允许执行任意代码 危险的Payload示例： - T(java.lang.Runtime).getRuntime().exec('calc') - T(java.lang.System).getPropert

XMLStreamReader 安全代码 禁用外部实体和DTD，防止XXE攻击

XMLStreamReader 漏洞代码 StAX (Streaming API for XML) 解析器，默认配置存在XXE漏洞

测试权限

ReDoS漏洞测试接口 使用复杂嵌套模式 ((a+)+)+b 触发回溯爆炸

测试角色

安全的正则表达式接口 使用简单量词 a+ 模式

安全端点 - 添加验证

漏洞端点 - 未验证就直接接收 BigDecimal 参数

【安全版本】修改用户头像 - 使用 DTO 防止 Mass Assignment 漏洞 安全措施： 1. 创建专门的 DTO 类（UpdateAvatarDTO），只包含 avatar 字段 2. 使用 DTO 接收前端参数，而不是直接使用实体类 3. 手动构造 Admin 对象，只更新白名单字段

【漏洞版本】修改用户头像 - 存在 Mass Assignment 漏洞 业务场景： 用户自助修改头像（常见功能） 漏洞成因： 1. Mapper 层的 updateAdmin() 方法本来是为"管理员后台"设计的通用更新方法 2. 开发者为了方便，将这个通用方法复用到了"用户修改头像"功能 3

上传文件接口（漏洞：未验证文件类型）

漏洞：无权限检查，任何人都可以查询敏感字段 internalNotes

漏洞：无权限检查，任何人都可以查询敏感字段 salary

漏洞：无权限检查，任何人都可以查询敏感字段 ssn

验证RS256 JWT 使用公钥验证JWT签名

安全的JWT验证接口 - 修复算法混淆漏洞 强制校验JWT必须是RS256算法

易受算法混淆攻击的JWT验证接口 完全按照Burp Suite官方文档的伪代码实现 注意：此接口存在严重安全漏洞，仅用于学习目的

漏洞版：用户输入直接控制 viewName 业务场景：多语言页面切换，根据 lang 参数决定加载哪个模板

@Poc：http://127.0.0.1:8080/rce/ping?ip=127.0.0.1 -c 1;whoami @param ip IP地址 @return 返回命令执行结果

@Poc： http://127.0.0.1:8080/rce/vulnPing2?ip=127.0.0.1 -c 1;whoami @param ip @return

存在 LDAP 注入漏洞的登录接口（不安全） 攻击示例1（绕过认证）： username: admin)(uid= ))(&(uid= password: anything 攻击示例2（通配符）： username: password: @param request 登录

XInclude 注入 - 安全接口 关闭 XInclude，xi:include 不会被展开；并禁用 DTD

XInclude 注入 - 漏洞接口 已禁用 DTD 与外部实体，仅开启 XInclude，用于说明「仅关 DTD 无法防御 XInclude」： 攻击者仍可通过 xi:include href="file:///..." 或 href="http://..." 读文件或 SSRF

XML 炸弹漏洞 - 安全接口 禁用 DTD，从根本上避免实体扩展类攻击

XML 炸弹漏洞 - 漏洞接口 使用默认配置解析 XML，允许 DTD 与实体扩展，存在实体扩展 DoS 风险

安全代码 - 使用白名单验证

XMLDecoder反序列化恶意对象-执行危险命令（漏洞接口）

XMLEncoder序列化和XMLDecoder反序列化演示

XPath注入漏洞 - 安全代码 使用参数化查询或输入验证，防止XPath注入

XPath注入漏洞 - 登录验证（漏洞代码） 直接拼接用户输入到XPath表达式，存在XPath注入漏洞 攻击示例： 用户名：admin' or '1'='1 密码：任意值 生成的XPath：//user[username='admin' or '1'='1' and password='任意值

TransformerFactory 安全代码 禁用外部实体和DTD，防止XXE攻击

TransformerFactory 漏洞代码 XSLT转换器，默认配置存在XXE漏洞

安全代码 - 使用白名单验证

安全代码 - 使用XStream安全配置

XStream反序列化恶意对象-执行危险命令（漏洞接口）

XXE漏洞 - 安全代码 禁用外部实体和DTD，防止XXE攻击

SSRF via XXE - 安全接口

SSRF via XXE - 漏洞接口

XXE漏洞 - 漏洞代码 未禁用外部实体，存在XXE漏洞 攻击示例： <?xml version="1.0"?> <!DOCTYPE root [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <user><name>&xxe;</name></us