@路人甲:

P牛您好，我在看 shiro 550漏洞，Tomcat 会有header max size 的问题，网上有两种方式： 1. 修改 max size 2. 加载器 但我实际实验起来，这两种方法本身都会超过 max size。我生成类的字节码方式是 先定义好恶意类，然后使用 javassist 生成字节码 ClassPool pool = ClassPool.getDefault(); CtClass clazz = pool.get(Evil.class.getName()); return clazz.toBytecode(); 请问有好的方式缩小字节码大小的方式吗

@water:

p牛您好，我在学 java漫谈09反序列化3 时碰到了一个问题，按着书中代码我发现，collection没有了，经过一翻查询，发现好像是弃用了这个，也没找到如何添加。于是我添加了collections4。但这个类的transformedmap没有decorate方法，我找到了类似的方法transformedmap，即map outermap=transforedmap.transformedmap(innermap,null,transformerchain); 但是这样运行后并不能正常弹出计算机，而是程序直接结束了。 由于只能传一张图，我不知道描述的清不清楚。希望p牛能帮我解决一下，能直接运行书中代码的方法。

@路人甲:

通过spring boot heapdump下来的内存发现有fastjson,有什么方法定位其触发url,想测试下有没有fastjson的洞，我遇到的这套系统默认是用的jackson,试了几个接口都是jackson处理的,jackson的漏洞没有测试成功，不知道是不是姿势不对(java版本1.8.0_291)。或者内存文件还有什么高价值东西可以挖掘的，目前找了一圈没找到管理员账号信息，数据库不对外连接，认证用的spring security

@rixo:

在复现web ctf题的时候遇到一个问题没弄清楚，想问一下各位大佬。 我看的是这个博客（[BUUCTF题解][HCTF 2018]WarmUp 1 - Article_kelp - 博客园），题目是[BUUCTF题解][HCTF 2018]WarmUp 1。想问一下，为什么在这一题中将file参数赋值为source.php?./../../../../ffffllllaaaagggg然后调用include函数可以执行正确的结果，而我自己搭建的环境在这样调用include函数时会报错。（下图是我搭建环境的报错）

@路人甲:

P神,想请教一个go的参数解析问题 title="login" -> title=login,解析的时候双引号丢失 目前从flag改到了go-flags这个第三方包也会出现这种问题;Linux下可以通过title=\"login\" 来解决,但Windows不能解决,请问这个有没有什么方法

@路人甲:

请问p牛，在14年的RFD漏洞中，为什么在path中加上;/foo.bat;服务器还会解析？现在的url的path中加上分号大部分就报错了，请问是历史原因吗？

@云游:

各位师傅好，请教个关于javaagent的问题，在使用VirtualMachine进行loadagent相应jar文件时候 一直出现这个错误，请问各位该怎么解决呢

@张嘉良:

p神您好 最近接触到了crlf注入漏洞 目前自己的理解是只要自己的输入 能够输出在header头中 那么通过header处插入 crlf 便可以完成对响应头的分割 当前碰上的一个环境是我的请求包中header头origin会被显示在响应包的头中 无论怎么插payload都原封不动的输出 无法将响应分割 在网上查的成功的案例发现都是有302跳转才能触发成功的 目前的困惑是 这里到底是一个响应分割 还是仅仅是个cors漏洞 还有我对crlf漏洞的理解正确吗 望p神能够解答 谢谢p神

@G0llum:

python除了pyinstaller 的加密保护源代码，还有什么好的保护代码，防止反编译的工具么？

@路人甲:

p神你好。请教几个关于jndi注入的问题 1.是攻击方搭建的jndi server的jdk不能过高，还是被攻击服务端的jdk不能过高 2.reference的三参数构造方法classname，factory和factorylocation。第一个和第二个参数具体是怎样的含义，看到网上博客大都是相同的字符串。并且有些人使用恶意类完整包名加类名，有些人使用仅类名，有什么区别 3.我发现关闭http服务端，jndi server正常启动，并且jndi client也可以加载恶意类（前提是jndi server包中包含这个类）是否reference有一个优先加载机制，远程找不到会加载jndi server同包下的恶意类