以上的代码已经能够获取到request和response对象，接着我们来解决如何使用EL表达式将该类动态加载出来。这里选择JDK内置的com.sun.org.apache.bcel.internal.util.ClassLoader来动态加载我们的类

如何在Android Nougat中正确配置Burp Suite？

此前我已经在Genymotion VM或我的旧版Nexus Tablet，做过不少Android相关的测试。一直以来我都遵循Portswigger的说明文档，本地运行Burp Suite，并安装User Cert，配置一个WiFi代理。

然而，当我对这个特定app（需要API level 24 (Android 7.0 - "Nougat")）测试时，突然发现Burp无法正常工作。我回顾了我的配置步骤，并没有发现遗漏的地方，但在Burp中只看到“connection reset（连接重置）”错误：从Nougat开始，Android更改了对用户安装证书的默认信任行为。这意味着，从sdcard安装Burp CA将无法拦截应用流量。除非另有说明，否则应用程序将只会信任系统级别的CA。

这里有两种方法可以帮我们绕过它：

将Burp CA作为系统级CA安装在设备上。这是我认为最简单的解决方法，但需要一个已经root的设备。还免去了设置锁屏PIN码的的麻烦：）
修改manifest清单文件并重新打包应用程序。 操作步骤相对繁琐，但不需要root权限。
注意：我在Windows 10上使用Burp Suite Pro完成了这些操作，使用的是Android 7.1（API25）Genymotion VM，但这些步骤应适用于任何设置。

将Burp CA作为系统级CA安装在设备上
对我来说，我认为最简单的解决方案就是将Burp CA安装到系统可信证书中。你可以通过Settings -> Security -> Trusted Credentials来查看所有与Android设备捆绑在一起的系统CA。在浏览器捆绑中你也能看到类似的CA。

Android的受信任CA以特殊格式存储在/system/etc/security/cacerts 。如果我们有root权限，可以对这个位置进行写入放入Burp CA（经过一些修改后）

Android喜欢PEM格式证书，并且文件名为subject_hash_old值并以.0结尾。

注意：如果你使用的OpenSSL <1.0，那么将是subject_hash，而不是“old”

使用openssl将DER转换成PEM，然后输出subject_hash_old并重命名该文件：

openssl x509 -inform DER -in cacert.der -out cacert.pem
openssl x509 -inform PEM -subject_hash_old -in cacert.pem |head -1
mv cacert.pem <hash>.0

VE-2020-1948

这里的 EqualsBean 和 ToStringBean 可以看一下 Hessian_JNDI 那个链子。打的是rome反序列化。

这个地方用的是dubbo协议。其实这里打的就是hessian反序列化这个已经比较熟悉了。 看一下这个数据包。
典型的三次握手和四次挥手。dabb是dubbo的协议头。里面有hessian序列化的数据，然后 c 发送。s 确认收到。然后s再发。

Dubbo服务在没有配置协议的情况下，默认使用dubbo协议，dubbo协议默认使用hessian2进行序列化传输对象。hessian2反序列化只是其中一个攻击面，太局限，而且hessian2可能会提供黑白名单的限制。所以需要尝试扩展攻击面，此漏洞应运而生。

但是大致意思就是 如果 hessian 设置了黑名单。可以尝试用其它的 readObject 。前面也说dubbo协议的时候也说到了那个map。里面有不同序列化方式所对应的id。

也就是 header 的第三个 字节 里面 最后的5个 byte。

pojo就是我们当时 out.writeObject 进去的 LinkedHashMap。前两个类型的if里面也进不去。

注意一下这个isArray()，一会儿下个漏洞的时候会用到它。

然后就是获取class，对应的value进行实例化，然后调用每一个entry的key对应的set方法，然后value为值。

NativeJava修复

配置文件中判断是否支持Java反序列化，默认为false。

dubbo协议。其实这里打的就是hessian反序列化这个已经比较熟悉了。 看一下这个数据包。
典型的三次握手和四次挥手。dabb是dubbo的协议头。里面有hessian序列化的数据，然后 c 发送。s 确认收到。然后s再发。

这个漏洞主要是因为hessian引起的。

com.alibaba.com.caucho.hessian.io.Hessian2Output#writeString(java.lang.String)

就是在provider解析数据的时候，本应该是in.readUTF()。

但是我们构造数据包的时候用的是 out.writeObject(payload());

结果provider解析异常，然后会触发 payload() 的toString 方法。

如果此时如果有toString2rce的gadget。就会有被攻击的风险。

array_walk

array_walk 是 PHP 中的一个内置函数，用于对数组中的每个元素应用用户自定义的回调函数。它可以遍历数组，并将数组的键和值传递给回调函数进行处理。array_walk 不会返回一个新的数组，而是直接修改原始数组。
● $array：要遍历的数组（按引用传递，可以直接修改）。

● $callback：用户自定义的回调函数，接收两个参数（值，键），或者三个参数（值，键，$userdata）。

● $userdata（可选）：传递给回调函数的额外数据。

DataGear 是一款开源免费的数据可视化分析平台，自由制作任何您想要的数据看板，支持接入 SQL、CSV、Excel、HTTP 接口、JSON 等多种数据源。
支持运行时接入任意提供 JDBC 驱动的数据库，包括 MySQL、Oracle、PostgreSQL、SQL Server 等关系数据库，以及 Elasticsearch、ClickHouse、Hive 等大数据引擎

在 FreeMarker 模板引擎中，new 是一个内置的关键字，用来创建新的实例对象。这个功能通常用于实例化 Java 类，并可以在创建对象时直接调用构造函数来初始化其属性。通过在模板中使用 new 关键字，你可以轻松地创建 Java 对象，并将其用在模板的渲染过程中，以支持动态数据的展示和处理。

freemarker.template.utility.ObjectConstruct 是 FreeMarker 模板引擎中的一个辅助类，主要用于创建 Java 对象，并将其转换为 FreeMarker 可以识别和处理的模板数据模型。这使得模板可以动态地实例化对象，并将它们传递给模板进行渲染。

freemarker.template.utility.JythonRuntime 是 FreeMarker 模板引擎中的一个辅助类，它用于与 Jython（一个基于 Java 的 Python 解释器）进行交互。通过这个类，FreeMarker 模板可以执行 Python 脚本，从而在模板中动态执行 Python 代码，并将结果用于模板渲染。

该方法重写了 Writer 类中的 flush 和 close 方法。在此实现中，接收到的字符序列会被附加到一个 StringBuilder 缓冲区中。当调用 flush 时，会执行 interpretBuffer 方法，该方法从缓冲区 buf 中提取字符串内容，并通过 exec 执行这些内容作为 Python 代码。
<#assign> 标签用于在模板中定义变量。通过使用 <#assign> 标签，你可以将一个值赋给变量，并在模板的其他部分引用和使用这个变量。这使得在模板中能够创建和操作变量，从而支持更复杂的逻辑和功能。

导入表（Import Directory）存储了有关PE文件在运行的生命周期中所需要的API以及相关的dll模块。
有些AV/EDR会根据
导入表中记录的API来判定一个程序是否为高危文件，比如说一个文件在1MB以内，出现了 VirtualAlloc、VirtualProtect、CreateThread 等敏感API时，很大概率会判定为高危文件。

很多工具可以查看文件的导入表，常见的有studyPE+、IDA。

在本节中，我将详细介绍动态获取API函数的三种方式，它们分别是

1. GetModuleHandle+GetProcAddress 的组合获取所需的API函数指针

2. 使用 PEB 获取 GetModuleHandle 和 GetProcAddress 的函数指针，再利用 GetModuleHandle+GetProcAddress 获取所需要的API函数指针

3. 使用 PEB 获取所需要的API函数指针

网上也有人用 LoadLibrary 作为 GetModuleHandle 的平替，其效果相差无几，只是它们的机制有些区别，比如说在 自举的代码幽灵——反射DLL注入（Reflective DLL Injection） 中我们就是利用 LoadLibrary+GetProcAddress 给我的恶意DLL加载相应的DLL获取需要的API函数指针，值得关注的一点是恶意DLL是由其自身的导出函数 ReflectiveLoader 完成自身的加载，这意味着相应的DLL并没有加载到自身的地址空间中，所以需要利用 LoadLibrary 而不应该使用 GetModuleHandle。

首先，MessageBoxW 这个弹窗API是由user32.dll导出的，我们直接使用API，编译后查看导入表信息，发现确实存在 MessageBoxW 这个API的记录
查看其导入表，发现没有 MessageBoxW 的相关信息。
1. 使用加密版将shellcode加密，并输出

2. 将shellcode保存到shellcode.txt

3. 用VS的MSVC或Cling-cl编译解密版的代码，注意编译和shellcode位数保存一致，如shellcode是x64，编译的时候要用x64位。

4. 将编译好的exe和shellcode.txt放到目标上，保证这两个文件在同一个目录

bshare插件引发的网站劫持事件剖析

QAX通报的“bshare分享插件被黑？百万级网站被劫持事件”报道的大概逻辑如下：

● 大量网站引用了名为bshare的分享按钮插件，该插件对应的服务域名为static.bshare.cn；

● 网站使用bshare组件时，需要在原网页中插入bshare网站的js资源；

● QAX通过对域名static.bshare.cn的分析，确认这是一起通过抢注过期通用插件服务域名来实施大范围网页劫持的攻击事件；

● 用户访问被嵌入了恶意js资源的网站时，网页内容会被劫持至同一色情网页处；

网页被嵌入第一段JS代码

为了搞清楚其劫持原理，笔者尝试从代码层面对其整个劫持原理进行了研究剖析。

通过查看其网页源代码，我们发现在源代码中确实存在嵌入第三方js资源代码的情况。

被嵌入的JavaScript代码如下：

1
2
<script language="javascript" src="https://www.zuizhongjs.com/js/24/12/7/ky1.js" type="text/javascript"></script>

劫持至博彩网站

通过分析，网页在成功加载资源后，即会从此响应数据中提取最终的博彩网站的资源地址，随后对其进行加载。

为了探究此次网页劫持的影响范围，笔者尝试基于网上平台进行了扩线分析，发现存在加载恶意js资源的网站确实还不少。

了解Qemu模拟运行Linux内核的基本执行流程

QEMU 是一个开源模拟器，广泛用于虚拟化不同架构的操作系统。在启动 Linux 内核时，QEMU 通过 qemu-system-x86 命令初始化虚拟机环境。这一过程包括设置 CPU、内存和设备模拟，确保虚拟机能够运行目标操作系统。

通过QEMU启动内核以及加载文件系统:

内核加载与执行： QEMU 加载内核映像文件，通常为 bzImage（压缩的内核）或 vmlinux（未压缩的内核）。根据 QEMU 文档，用户可以通过 -kernel 选项指定内核文件路径。内核加载后，会自动解压（如果为 bzImage），然后开始执行，完成硬件初始化（如设置内存结构、加载驱动）。

Initramfs（Initial RAM Filesystem）是 Linux 启动过程中的临时根文件系统，通常以 initramfs.cpio 格式存在。根据 Gentoo Wiki，其主要目的是为内核提供一个最小化的用户空间环境，以加载必要的驱动和挂载真实根文件系统。

● 加载与挂载： 内核检测到 Initramfs 文件后，将其解压并挂载为内存中的临时根文件系统（/）。这一过程通过 cpio 归档格式实现，内容包括基本的 shell、工具（如 busybox）和配置文件。

● 作用： Initramfs 特别适用于需要特殊驱动（如 RAID、LVM 或加密文件系统）的系统。例如，Debian Wiki 指出，Initramfs 允许在挂载真实根文件系统之前加载内核模块，增强了启动的灵活性。

● 解释补充： 用户提供的图表正确描述了这一阶段，但需要强调 Initramfs 是启动过程中的关键步骤，尤其在复杂存储配置下（如 USB 启动或加密分区）。