Panda's Blog
菜单

文章列表

2026

Java安全20年：从BlackHat20年议题看Java安全发展趋势 当安全研究进入 AI 时代

2025

React2Shell 分析总结

2024

ByteCTF Guess Cookie 出题思路详解 spring 审计常见 tricks

2023

Mybatis 从SQL注入到OGNL注入

2022

从零开始，分析Spring Framework RCE 从SSRF 到 RCE —— 对 Spring Cloud Gateway RCE漏洞的分析 fastjson<=1.2.68 漏洞分析

2021

聊聊配置文件 RCE 这件事 log4j 1.x 与 logback 的鸡肋RCE讨论 log4j2 JNDI 注入漏洞分析 Thymeleaf SSTI 分析以及最新版修复的 Bypass 【Java 代码审计入门-06】文件包含漏洞原理与实际案例介绍 JVM字节码学习笔记——class 文件结构 欢迎购买我的新书《Java代码审计(入门篇)》 用一个 case 去理解 jdk8u20 原生反序列化漏洞 JEP290的基本概念 反序列化流程分析总结 欢迎关注我的微信公众号 序列化流程分析总结 《Object Serialization Stream Protocol/对象序列化流协议》总结 JDK7u21反序列化漏洞分析笔记 微擎 CMS：从 SQL 到 RCE

2020

骑士 CMS 远程代码执行分析 PHP 配置 register_argc_argv 小结 fastadmin后台低权限拿 shell方法 fastadmin最新版前台getshell漏洞分析 【Java 代码审计入门-05】RCE 漏洞原理与实际案例介绍 T-Star高校挑战赛WP seacms 最新版前台注入漏洞 Java 代码审计基础知识 — java反射机制 由定界符引发的一些安全问题 【Java 代码审计入门-04】SSRF 漏洞原理与实际案例介绍 CVE-2019-2729 利用脚本 maccms v8 80w 字符的 RCE 分析

2019

挖洞神器之XRAY使用初体验 PHPmyadmin SQL injection in Designer feature 研究（CVE-2019-18622） 【Java 代码审计入门-03】XSS 漏洞原理与实际案例介绍 【Java 代码审计入门-02】SQL 漏洞原理与实际案例介绍 个人经验泛谈之工控安全入门 简单谈一谈 Java 中的预编译 【Java 代码审计入门-01】审计前的准备 Spring学习笔记 - IOC 带你走进PHP session反序列化漏洞 带你走进 S7COMM 与 MODBUS 工控协议 2019 工业信息安全竞赛总结 在本地搭建 discourse 社区 SUCTF web 赛后复现总结 AWVS Linux 破解版在 Centos7 下安装过程中存在问题记录 2019NISC CTF 部分 WriteUp 某工控 CTF 线上赛隐信道数据安全分析题解 一道MMS工控协议CTF题的WriteUp 由filter_var()函数引起的技术探讨 由PHP SECURITY CALENDAR 2017引发的思考总结 typecho搬家后出现的一些问题解决方法 精读：REDQUEEN: Fuzzing with Input-to-State Correspondence 精读：CollAFL: Path Sensitive Fuzzing 精读：Coverage-based greybox fuzzing as markov chain 代码审计原理与实践分析-SQL篇(一) 对某个CMS的CSRF挖掘过程分析

2018

Microsoft VBScript 运行时错误 '800a0009' 下标越界: '[number: 1]'的解决方法 支持向量机SVM算法的学习记录

2017

实验吧WEB部分题解 CSRF漏洞中以form形式用POST方法提交json数据的POC 缓慢的Http拒绝服务攻击漏洞的验证（slowhttptest的安装） zzcms v8.1审计 第十届信息安全国赛 Web WriteUp（部分） GCTF Web 部分writeup 对于Discuz!3.2的基础认证钓鱼漏洞分析与修复 CVE-2017-9603分析 AppCms的一次综合审计