最近在学习CodeQL，对于CodeQL就不介绍了，目前网上一搜一大把。本系列是学习CodeQL的个人学习笔记，根据个人知识库笔记修改整理而来的，分享出来共同学习。个人觉得QL的语…
环境布置：到官网下载源码：https://github.com/yangzongzhuan/RuoYi采用phpstudy集成数据库，5.7版本。JDK1.8。IDEA打开项目，等…
前言Shiro 的漏洞已爆出很多年, 我们只关心到了它如何触发, 有时并没有想过这个框架是干嘛的, 甚至没有分析过该框架的底层运行逻辑, 那么本篇文章, 让大家从开发者的角度, 来…
前言本篇文章是 《Java 安全 | 从 Shiro 底层源码看 Shiro 漏洞 (上)》的后续部分, 由于篇幅问题, 故分为两部分, 请大家衔接阅读...FilterChain…
最近在审计java的CMS，跟着文章进行nday审计，找准目标newbee-mall Version1.0.0（新蜂商城系统），并跟着网上文章进行审计：https://blog.c…
JFinalCms是开源免费的JAVA企业网站开发建设管理系统，极速开发，动态添加字段，自定义标签，动态创建数据库表并crud数据，数据库备份、还原，动态添加站点(多站点功能)，一…
关于BetterscanBetterscan是一款多功能代码安全编排与审计工具，该工具可以针对源代码执行代码扫描、SAST、静态分析和其他安全审计任务，并生成可读的整合报告。Bet…
漏洞信息漏洞来源：https://hackerone.com/reports/2644244官方安全公告：https://www.djangoproject.com/weblog/…
一、CodeQL简介CodeQL 是 GitHub 提供的一种静态代码分析工具，旨在帮助开发者和安全专业人士识别和修复代码中的潜在漏洞和质量问题。通过利用 CodeQL 进行静态分…
1、越权漏洞发现注意：首先要自行生成几条测试的用户数据，直接在cms当中可能无法增加，建议在数据库当中进行新建，语句：INSERT INTO `of_sys_role` (role…