内容简介：下载已知
漏洞重现
下载 javamelody-core-1.73.1.jar ,加载到J2EE项目的 /WEB-INF/lib 目录下，该JAR包依赖 jrobin-1.5.9.jar ,然后发送POST请求时，设置 Content-Type: text/xml ，增加请求头 SOAPAction:aaaaa ,值为任意值。
漏洞分析
找到漏洞位置和修复方案
已知 javamelody 在新版本 1.74 中修复了该XXE漏洞，所以来到页面 https://github.com/javamelody/javamelody/releases 点击进去可以看到新的修改部分，有一个备注为
fix for security 的提交，链接为 https://github.com/javamelody/javamelody/commit/ef111822562d0b9365bd3e671a75b65bd0613353
得到漏洞位置及修复代码。
IDE找到触发位置
Eclipse的快捷键是Ctrl+Alt+H，快速找到调用函数的位置，最后可以找到完整的调用链
这里只需要重点关注 net.bull.javamelody.PayloadNameRequestWrapper.initialize() 方法 所以这里在重现漏洞时需要设置请求头和contentType了。
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
- 如何做好漏洞管理的漏洞修复工作
- 漏洞预警 | ThinkPHP5远程命令执行漏洞
- 漏洞预警 | MetInfo最新版本爆出SQL注入漏洞
- 通过关键字获取漏洞平台最新漏洞信息
- [浏览器安全漏洞一] dll劫持漏洞
- 宝塔漏洞 XSS窃取宝塔面板管理员漏洞高危
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
架构真经
马丁L. 阿伯特（Martin L. Abbott）、迈克尔T.费舍尔（Michael T. Fisher） / 机械工业出版社 / 2017-4 / 79
前言 感谢你对本书第2版感兴趣！作为一本入门、进修和轻量级的参考手册，本书旨在帮助工程师、架构师和管理者研发及维护可扩展的互联网产品。本书给出了一系列规则，每个规则围绕着不同的主题展开讨论。大部分的规则聚焦在技术上，少数规则涉及一些关键的思维或流程问题，每个规则对构建可扩展的产品都是至关重要的。这些规则在深度和焦点上都有所不同。有些规则是高级的，例如定义一个可以应用于几乎任何可扩展性问题的模......一起来看看 《架构真经》 这本书的介绍吧!
