java 凯撒加密
凯撒加密是一种古老的加密技术，它属于替换加密的一种，得名于罗马的尤利乌斯·凯撒。其基本原理是通过将字母表中的字母按照固定的位移量进行替换，从而达到加密的目的。
凯撒加密 就是一个字符串ascii进行偏移 。
代码定义了一个名为 ByteCodeEvil 的类，它的主要功能是执行一个系统命令并将其输出捕获到一个字符串中。接下来，我将详细解释每个部分的功能和工作原理：
类和构造函数
凯撒加密是一种古老的加密技术，它属于替换加密的一种，得名于罗马的尤利乌斯·凯撒。其基本原理是通过将字母表中的字母按照固定的位移量进行替换，从而达到加密的目的。
凯撒加密 就是一个字符串ascii进行偏移 。
代码定义了一个名为 ByteCodeEvil 的类，它的主要功能是执行一个系统命令并将其输出捕获到一个字符串中。接下来，我将详细解释每个部分的功能和工作原理：
类和构造函数
代码导入了 Java 的 URLClassLoader、URL 和 Method 类，这些类分别用于动态加载类、处理 URL 和反射调用方法。
undefined 设置内容类型：
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
创建 URLClassLoader 实例，通过指定 tools.jar 文件的路径来加载类 sun.tools.attach.WindowsVirtualMachine，这是 Java 的工具包之一，通常用于操作 Java 虚拟机。
undefined 遍历方法并查找 enqueue：暂停当前线程 4000 毫秒（4 秒），可能是为了给操作一些时间完成。
undefined 设置内容类型：
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
创建 URLClassLoader 实例，通过指定 tools.jar 文件的路径来加载类 sun.tools.attach.WindowsVirtualMachine，这是 Java 的工具包之一，通常用于操作 Java 虚拟机。
undefined 遍历方法并查找 enqueue：暂停当前线程 4000 毫秒（4 秒），可能是为了给操作一些时间完成。
WebLogic coherence UniversalExtractor 反序列化 (CVE-2020-14645) 漏洞分析
该漏洞是针对于CVE-2020-2883的补丁绕过，CVE-2020-2883补丁将MvelExtractor和ReflectionExtractor列入黑名单，因此需要另外寻找一个存在extract且方法内存在恶意操作的类，这里用到的类为com.tangosol.util.extractor.UniversalExtractor,存在于Coherence组件。
其本质上，都是通过ReflectionExtractor调用任意方法，从而实现调用Runtime对象的exec方法执行任意命令，但补丁现在已经将ReflectionExtractor列入黑名单，那么只能使用UniversalExtractor重新构造一条利用链，这里使用poc2的入口即CommonsCollections4链的入口进行构造。
该漏洞是针对于CVE-2020-2883的补丁绕过，CVE-2020-2883补丁将MvelExtractor和ReflectionExtractor列入黑名单，因此需要另外寻找一个存在extract且方法内存在恶意操作的类，这里用到的类为com.tangosol.util.extractor.UniversalExtractor,存在于Coherence组件。
其本质上，都是通过ReflectionExtractor调用任意方法，从而实现调用Runtime对象的exec方法执行任意命令，但补丁现在已经将ReflectionExtractor列入黑名单，那么只能使用UniversalExtractor重新构造一条利用链，这里使用poc2的入口即CommonsCollections4链的入口进行构造。
禅道11.6注入分析
(需要用户权限)
第一眼看到这种传参方式，我心里是懵逼的，利用到的文件都看不出来，所以先研究一下他的URL是怎么写的。
PS:使用禅道前要将本地的apache服务和mysql服务关闭，否则会发生冲突
PS:由于环境限制，没办法搭建调试环境，所以文章中若是有错误内容还请师傅们务必斧正!!!∑(ﾟДﾟノ)ノ
URL地址格式分析
应用名为：pms，根路径为index.php路径的上级路径，应用类名为router。
这里最后返回了一个实例化的类，将app名字与根路径作为参数传入。由于这里创建了一个新对象，先去router类中看一下是否有__construct()函数，没有找到就去他的父类baseRouter里找，果然在baseRouter中发现了__construct()函数
(需要用户权限)
第一眼看到这种传参方式，我心里是懵逼的，利用到的文件都看不出来，所以先研究一下他的URL是怎么写的。
PS:使用禅道前要将本地的apache服务和mysql服务关闭，否则会发生冲突
PS:由于环境限制，没办法搭建调试环境，所以文章中若是有错误内容还请师傅们务必斧正!!!∑(ﾟДﾟノ)ノ
URL地址格式分析
应用名为：pms，根路径为index.php路径的上级路径，应用类名为router。
这里最后返回了一个实例化的类，将app名字与根路径作为参数传入。由于这里创建了一个新对象，先去router类中看一下是否有__construct()函数，没有找到就去他的父类baseRouter里找，果然在baseRouter中发现了__construct()函数
Web 缓存纠缠：导致中毒的新途径
缓存遍布整个网络的网站，在用户之间谨慎地处理数据，但很少对其进行深入研究。在本文中，我将向您展示如何远程探测缓存的内部工作原理以发现细微的不一致之处，并将其与小工具结合起来构建宏伟的漏洞利用链。
这些缺陷遍及缓存的所有层面 - 从庞大的 CDN，到缓存 Web 服务器和框架，一直到片段级内部模板缓存。基于我之前的缓存中毒研究，我将展示如何利用误导性转换、幼稚的规范化和乐观的假设来执行大量攻击，包括持续毒害在线报纸的每一页、破坏国防部内部情报网站的管理界面以及在全球范围内禁用 Firefox 更新。
超越先前的研究
2018 年，我发表了《实用 Web 缓存投毒》一书，其中展示了如何使用非标准 HTTP 标头（例如X-Forwarded-Host和X-Original-URL）来投毒缓存并入侵网站。这是一种利用缓存设计缺陷的直接方法，因此对所有缓存的影响相同。
在本文中，我将针对几乎总是包含在缓存键中的两个请求组件 - Host 标头和请求行。如果将这些组件直接放入缓存键中，则不可能将它们用于缓存投毒。然而，仔细检查后，我们会发现这些值经常被解析、转换和规范化，从而引入了漏洞，我们可以利用这些漏洞。这些漏洞源于危险但故意为之的功能，一直到解析错误和简单的转义问题，这些问题让我们使完全不同的请求发生冲突。
缓存遍布整个网络的网站，在用户之间谨慎地处理数据，但很少对其进行深入研究。在本文中，我将向您展示如何远程探测缓存的内部工作原理以发现细微的不一致之处，并将其与小工具结合起来构建宏伟的漏洞利用链。
这些缺陷遍及缓存的所有层面 - 从庞大的 CDN，到缓存 Web 服务器和框架，一直到片段级内部模板缓存。基于我之前的缓存中毒研究，我将展示如何利用误导性转换、幼稚的规范化和乐观的假设来执行大量攻击，包括持续毒害在线报纸的每一页、破坏国防部内部情报网站的管理界面以及在全球范围内禁用 Firefox 更新。
超越先前的研究
2018 年，我发表了《实用 Web 缓存投毒》一书，其中展示了如何使用非标准 HTTP 标头（例如X-Forwarded-Host和X-Original-URL）来投毒缓存并入侵网站。这是一种利用缓存设计缺陷的直接方法，因此对所有缓存的影响相同。
在本文中，我将针对几乎总是包含在缓存键中的两个请求组件 - Host 标头和请求行。如果将这些组件直接放入缓存键中，则不可能将它们用于缓存投毒。然而，仔细检查后，我们会发现这些值经常被解析、转换和规范化，从而引入了漏洞，我们可以利用这些漏洞。这些漏洞源于危险但故意为之的功能，一直到解析错误和简单的转义问题，这些问题让我们使完全不同的请求发生冲突。
我们找到了一个名为FBSharedFramework的 Mach-O 64 位共享库二进制文件。我们将使用Hopper Disassembler打开该二进制文件，由于该文件较大，因此需要一些时间才能完全反汇编该二进制文件。
一个好的开始是使用应用程序上显示的警报错误进行搜索。因此，我们将尝试找到导致OpenSSL 证书验证错误的分支。
我们必须将b.ne（“不相等时分支”的缩写）指令反转为b.eq（“不相等时分支”的缩写）指令，前者当且仅当零标志清零时才会分支或“跳转”到指定的地址，后者当且仅当零标志清零时才会分支或“跳转”到指定的地址。因此，它不会进入导致 OpenSSL 证书验证错误的loc_1491b4分支，而是进入有效分支。
一个好的开始是使用应用程序上显示的警报错误进行搜索。因此，我们将尝试找到导致OpenSSL 证书验证错误的分支。
我们必须将b.ne（“不相等时分支”的缩写）指令反转为b.eq（“不相等时分支”的缩写）指令，前者当且仅当零标志清零时才会分支或“跳转”到指定的地址，后者当且仅当零标志清零时才会分支或“跳转”到指定的地址。因此，它不会进入导致 OpenSSL 证书验证错误的loc_1491b4分支，而是进入有效分支。
Weblogic 远程命令执行漏洞（CVE-2020-14645）分析
漏洞复现
漏洞利用 POC，以下的分析也是基于该 POC 进行分析
漏洞分析
了解过 JDNI 注入的都知道漏洞在 lookup() 触发，这里在 JdbcRowSetImpl.class 中 326 行 lookup() 函数处设置断点，以下为漏洞利用的简要调用链条
我们从头分析，我们都知道反序列化的根本是对象反序列化的时候，我们从 IO 流里面读出数据的时候再以这种规则把对象还原回来。我们在 in.readObject() 处打断点，跟进查看 PriorityQueue.readObject() 方法
漏洞复现
漏洞利用 POC，以下的分析也是基于该 POC 进行分析
漏洞分析
了解过 JDNI 注入的都知道漏洞在 lookup() 触发，这里在 JdbcRowSetImpl.class 中 326 行 lookup() 函数处设置断点，以下为漏洞利用的简要调用链条
我们从头分析，我们都知道反序列化的根本是对象反序列化的时候，我们从 IO 流里面读出数据的时候再以这种规则把对象还原回来。我们在 in.readObject() 处打断点，跟进查看 PriorityQueue.readObject() 方法
Merlin后渗透利用框架
为了更好的理解Merlin Agent远控木马的功能，我们先简单使用Merlin后渗透利用框架复现木马上线的过程：
● Merlin Server：运行后默认监听本地的50051端口
●Merlin CLI：运行后默认连接本地的50051端口（Merlin Server）
●Merlin CLI：使用命令开启HTTPS端口监听，默认443端口
●Merlin CLI：远程控制
为了更好的理解Merlin Agent远控木马的功能，我们先简单使用Merlin后渗透利用框架复现木马上线的过程：
● Merlin Server：运行后默认监听本地的50051端口
●Merlin CLI：运行后默认连接本地的50051端口（Merlin Server）
●Merlin CLI：使用命令开启HTTPS端口监听，默认443端口
●Merlin CLI：远程控制
golang字符串
通过分析，发现在IDA中可看到大量golang库字符串信息，导出函数，通过分析，发现样本存在多个导出函数，尝试查看说明文档及源代码，梳理导出函数信息
配置信息
通过分析，发现样本在进入main_run函数中执行代码时，将从自身样本中提取配置信息，配置信息中包含了内置外联地址、UserAgent、加解密算法等。
远控功能
通过分析，发现样本具备大量远控功能
通过分析，发现在IDA中可看到大量golang库字符串信息，导出函数，通过分析，发现样本存在多个导出函数，尝试查看说明文档及源代码，梳理导出函数信息
配置信息
通过分析，发现样本在进入main_run函数中执行代码时，将从自身样本中提取配置信息，配置信息中包含了内置外联地址、UserAgent、加解密算法等。
远控功能
通过分析，发现样本具备大量远控功能