CurlySean's Blog

2025-12-01

华夏ERP审计

华夏ERP审计闲来无事，来复现一下华夏ERP的历史漏洞，之前在知识星球中看到过这个系统的鉴权绕过的文章感觉是很小的一套系统了，之前审计的代码有的太大了环境 github链接：[https://github.com/jishenghu

2025-11-12

geoserver历史漏洞

geoserver历史漏洞 geoserver介绍 GGeoServer 是一个开源的地理信息服务器，用于发布和共享地理空间数据。它是由 GeoTools 库驱动的，GeoTools 是一个用于处理地理数据的 Java 库。GeoServe

2025-11-09

Nacos历史漏洞

Nacos历史漏洞复现 Nacos简介 Nacos 是一个由阿里巴巴开源的动态服务发现、配置管理和服务管理平台，它帮助开发者更轻松地构建、交付和管理微服务应用，实现了服务的注册发现、健康监测以及动态配置管理，让微服务架构中的服务治理与配

2025-09-30

SpringAop链

Java

SpringAop链前言前面学习Hessian反序列化时，发现只有Rome反序列化这一条链是我学习过的，现在来补一补没有学过的链子环境搭建该链依赖于spring-aop和aspectjweaver两个包，在pom.xml文件中导

2025-09-08

Hessian反序列化

Java

Hessian反序列化前言最近来学习一下Hessian反序列化，感觉这个组件也是非常常见的，看了看感觉有点类似于RMI的远程方法调用，但是触发点并不是readObject了，变成了hashCode/equals/compareTo其中

2025-08-31

Java

高版本JDKSpring原生反序列化链前言在《Java安全share》星球中，jsjcw师傅给出了在高版本JDK下的spring原生链 POC，当时就想去研究一下这条链子，可惜其中有很多知识点我都没有接触过，所以这条链子的学习周期拉

2025-08-28

Java

Jackson中getter触发不稳定问题前言最近在分析《高版本JDKSpring原生反序列化链》时，其中有一个知识点为《JACKSON链的不稳定性》，前来学习一下（有个很奇怪很奇怪的事情，为什么我的Jackson链子十分的稳定，ou

2025-08-27

Java

EventListenerList触发任意toString 前言最近爆出来一个《高版本JDK下的Spring原生反序列化链》，本来想着学习一下最前沿的新东西，看了一下其它师傅的分析文章，好多没见过的知识点，慢慢补吧... 任意toStr

2025-08-26

Jackson反序列化

Java

Jackson反序列化 Jackson基础 Jackson介绍 Jackson 是一个开源的Java序列化和反序列化工具，可以将 Java 对象序列化为 XML 或 JSON 格式的字符串，以及将 XML 或 JSON 格式的字符串反序列化

2025-08-19

JDK7u21

Java

JDK7u21 前言好久之前的文章了，忘记发了环境配置只需JDK7u21 JDK7u21攻击链分析 JDK7u21的核心 JDK7u21的核心点就是`sun.reflect.annotation.AnnotationInvoc