HashMap类的作用是触发hashCode，而BadAttributeValueExpException类的作用是触发toString，看本题的源码，后续可以直接调用object.toString，上帝在关上一扇门的同时又开了一扇窗。恶意类懒得注内存马，直接打spring回显类。打入，直接回显命令执行结果，拿到flag。wget也可以外带数据，详见贴出的文章。靶机不出网，那就是打加载恶意字节码呗

（这里注意：shell_exec是无回显的，一般单独出现会涉及到dnslog外带，但这里后续echo $a实现了回显，属实良心了）3.127.0.0.1|cat /flag 查看根目录下的flag，直接爆出flag。flag每个字母都被过滤了，bash也被拿下，但好在sh还在，可以base64绕过！注释第二行直接告诉了flag的路径，暗示挺明显了，直接curl外带。发现过滤空格，${IFS}或$I

Struts 2 是一个流行的用于构建 Java Web 应用程序的开源 Web 应用程序框架。它是 Apache 软件基金会下的一个顶级项目，是 Struts 框架的升级版本。Struts 2 通过 MVC（模型-视图-控制器）架构来帮助开发者构建可维护、可扩展的 Web 应用程序。

本地起一个服务，折半查找fuzz黑名单，不断扔给fenjing去迭代改payload。本地搭一个服务查看替换后拼接的sql语句，发现成功闭合。username存在报错回显，发现可以打SSTI。逗号的绕过参考ctfshowweb344。引号被ban只要用前面自带的引号就行。replace的绕过参考。打入，下载flag文件。

匿名函数在创建后,函数变量会存储一个值从lambda_1开始,数字不断增大的字符串,且每创建一次,这个字符串数字部分都会增大,除非结束php的进程,刷新网页仍会继续计数。第一段正则用于匹配以 include 结尾的字符串，并且在 include 之前，可以有任意多个 5 个字符组成的块。如果 $d0g3 的长度等于 $miao 字符串的最后两个字符的值，且 $name 严格等于 $miao的值。可

encrypt-labs这种简单的场景本身用cloudx这些插件是很容易过的，但jsrpc会更通用，演示一下首先注册全局函数启动jsrpc服务端。

上传至 web01 服务器（flag01 那台），web01 上开启 python 服务。访问/actuator/heapdump下载到heapdump文件。finalshell连接，这样就可以随时访问，传文件也方便。后续需要用psql提权，所以先改一下root密码。发现新的资产不同于之前的网段，需要搭建多层代理。在web3上运行(只有v1.1版本可以)不能直接读flag文件，走suid提权。拿s

后端不会接收到，但是前端可以），这样一来就绕过了对于BackdoorPasswordOnlyForAdmin的检测，进行pickle反序列化，靶机不出网，可以结合web.py的add_processor方法注内存马(就是在访问路由后执行lambda表达式命令)jwt解密的过程是去jwttoken的header中取kid字段，然后对其拼接/app/得到文件路径，但我们不知道secretkey在哪个文

Apache Shiro 是一个强大且易于使用的 Java 安全框架，用于身份验证、授权、加密和会话管理等安全功能。Shiro 的设计目标是简单直观，同时提供了全面的安全功能，能够帮助开发者轻松地添加安全性到他们的应用程序中。认证（Authentication）：Shiro 提供了灵活且易于使用的认证机制，支持多种认证方式，包括基于用户名密码的认证、LDAP 认证、OAuth 认证等。授权（Aut

但p=system('xxx');却不能执行（没有disable_functions）账号密码都是admin admin,不知道为什么，这里就先当作是默认吧。在页面里post传g=phpinfo();（其实都是信息检索，能在网上搜到就行hhh）看到左边列表有模板，心里大概有数了哈。挺奇怪的，可能不是linux系统？进行一波历史漏洞的查。