饼干の博客

今天下午，卷群里发了个 ThinkPHP 5.x 任意文件读取的漏洞，睡醒之后发现点神已经分析出来了。很久没有审计代码了，就当作康复训练也上手一下子

本文仅作记录，不开源不提供过程

在 fastjson 1.2.25 中，定义了以下黑名单阻止大部分利用链

最近审计了挺多 Java 项目的，发现他们大多使用了 Maven 管理依赖，而在代码审计的时候，如果能够快速发现依赖存在漏洞，则可以帮助我们快速定位漏洞点。