本项目是记录自己在Java代码审计过程中遇到的内容,包括Java代码审计技巧以及自己真实审计的案例。一个不会Java代码审计的师傅不是一个好黑客!一个不会Java代码审计的黑客不是一个好师傅!
本项目创建于2021年7月8日,最近的一次更新时间为2021年7月30日。本项目会持续更新,直到海枯石烂。
- 0x01-Java漏洞靶场审计
- 0x02-Java代码审计工具
- 0x03-Java代码审计案例
- 0x04-Java常规Web漏洞
- 0x05-Java安全编码规范
- 0x06-Java代码审计培训
- 0x07-Java代码审计资源
- https://github.com/Mysticbinary/WebBug
- https://github.com/dschadow/JavaSecurity
- https://github.com/dschadow/Java-Web-Security
- https://github.com/novysodope/mytestvul
- https://github.com/langligelang/maobugs
- https://github.com/ityouknow/spring-boot-examples
- https://github.com/kevinsawicki/http-request
- https://github.com/NanoHttpd/nanohttpd
- https://github.com/TheKingOfDuck/MySQLMonitor
- https://github.com/tangxiaofeng7/SecExample
- https://github.com/JoyChou93/java-sec-code
- https://github.com/Zhangyao-zzyy/JavaVulnerableLab-circle
- https://github.com/oversecured/ovaa
- https://github.com/appsecco/dvja
- https://github.com/jaiswalakshansh/Vuldroid
- https://github.com/safe6Sec/ShiroAndFastJson
- https://github.com/CSPF-Founder/JavaVulnerableLab
一、Frotify
二、待整理
- https://github.com/j3ers3/Hello-Java-Sec
- https://github.com/proudwind/javasec_study
- https://github.com/threedr3am/learnjavabug
- https://github.com/SummerSec/JavaLearnVulnerability
- https://github.com/cn-panda/JavaCodeAudit
- https://github.com/Maskhe/javasec
- https://github.com/phith0n/JavaThings
- https://github.com/anbai-inc/javaweb-sec
- https://github.com/feihong-cs/Java-Rce-Echo
- https://github.com/Y4er/WebLogic-Shiro-shell
- https://github.com/feihong-cs/Java-Rce-Echo
- https://github.com/feihong-cs/JNDIExploit
- https://github.com/welk1n/JNDI-Injection-Exploit
- https://github.com/March110/javaweb-sec
- https://github.com/wh1t3p1g/ysomap
- https://github.com/wh1t3p1g/tabby
- 攻击Java Web应用
- https://github.com/returntocorp/semgrep
- https://github.com/mtxiaowangzi/CAFJE
- https://github.com/MobSF/mobsfscan
本部分详细列举常见的Java安全漏洞内容。
- 程序安装问题
- 业务逻辑漏洞
- SQL注入漏洞
- 变量覆盖漏洞
- 任意文件上传漏洞
- 任意文件写入漏洞
- 任意文件删除漏洞
- 任意文件包含漏洞
- 任意命令执行漏洞
- Java反序列化漏洞
- XSS跨站脚本攻击
- XML外部实体攻击
- CSRF跨站请求伪造
- SSRF服务端请求伪造
- 腾讯集团-Java安全编码规范
- 奇安信集团-Java安全编码规范
- 陌陌集团-Java安全编码规范