你尚未登录
未加入『代码审计』知识星球的用户只能查看少量内容，且不能下载附件。 加入『代码审计』知识星球即可查看所有内容。
请问各位师傅，像......
禅道开源版自动化安全审计
0x00 禅道简介
ZenTaoPMS（ZenTao Pro......
fastjson 1.2.68 反序列化漏洞 commons-io 2.x 写文件利用链挖掘分析：
Fastjson 1.2.68 反序列化漏洞 Commons IO 2.x 写文件......
请教各位师傅一个问题，......
p师傅，请教一下，class类名部分可控 例如$c=n......
@路人甲:P神，您好呀，关于那个xstream最近刚出的漏洞(CVE-2021-21351)复现的问题，我是跟着XStream远程代码执行漏洞复现(CVE-2021-21351) - Hunter-0x07's ...这个大牛师傅做的但是我这没复现成功，我的jdk版本是1.8.0_201，然后idea回显与博主也是一样的，然后命令行就到send那一步就没了，不知道是版本问题还是poc问题？所以想请教一下您，不知道这个提问符不符合规范，如不符合还请谅解，我还是个新手小白，谢谢您。
比较简单，本来不想回答的，但是我比较宠粉[旺柴]，还是答一下。
你问的XStream CVE-2021-21351这个漏洞，涉及一个很经典的问题，最后说一次，以后直接renew这个帖子。
J......
我这个人有个意识，但凡不是我自己研究出来的东西，或者不是已广为流传的东西，我都会把出处写明确，尽量不做拾人牙慧的事情。
举几个例子（下面几张图片）：
1. ......
图片
@冒牌高富帅:p师傅你好，想问一下对于组件类的源码，你平时代码审计的时候是如何做威胁建模的？比如我在看javamail组件，是一个发送接收邮件的组件。
“威胁建模”这术语整高端了……我知道的就是按照功能点来看代码。比如mail组件（不仅限于JavaMail），可能出问题的地方：
1. SMTP Injection......