有朋友聊天，我才想起来这篇预警。
这个漏洞非常凶残，使用J2EE框架的，基本都被X了。只要是个J2EE的网站，这个漏洞必须打补丁，否则等死。[……]
分类存档: WEB SECURITY
J2EE框架DDoS漏洞预警公告
作者: 空虚浪子心 日期: 2014 年 03 月 19 日 没有评论 | 128,603 views
STRUTS2框架的getClassLoader漏洞利用
作者: 空虚浪子心 日期: 2014 年 03 月 14 日 没有评论 | 119,818 views
2012年，我在《攻击JAVA WEB》，文中提多关于“classLoader导致特定环境下的DOS漏洞”，当时并没有更加深入的说明，这几天struts官方修补了这个漏洞，本文是对这个漏洞的深入研究。[……]
STRUTS2最近量产漏洞分析（2013-6）
作者: 空虚浪子心 日期: 2013 年 06 月 06 日 没有评论 | 152,573 views
可能是由于沟通问题，导致struts2官方对我提交的S2-012漏洞名称理解错误，漏洞描述为struts2的某个示例应用出现漏洞，但是struts2是按照框架出现漏洞修补的。而这个s2-012的发布竟然引发了一连串血案。[……]
利用hadoop做分布式暴力破解(OWASP杭州2013年春季WEB应用安全沙龙)
作者: 空虚浪子心 日期: 2013 年 05 月 27 日 没有评论 | 119,888 views
《使用hadoop做分布式暴力破解》
内容简介：
花大量时间讲了一下阿里的hadoop有多牛逼，最后我在上面执行了一条sql。
阿里安全团队正在校招，请自行寻找投递方式，只要过了阿里的面试，你也有机会也在上面执行一条SQL。[……]
struts2 s2-013补丁
作者: 空虚浪子心 日期: 2013 年 05 月 23 日 没有评论 | 162,139 views
我服了struts2的官方，升级新的版本，从源码上做文件对比，代码没有做任何变化。
看来我让大家等补丁，是坑了大家。
疑似struts2的开发人员粗心，没把新版本更新，只是发布了版本号。
发个临时补丁给大家顶一下吧。[……]
Struts2远程代码执行漏洞分析（S2-013）
作者: 空虚浪子心 日期: 2013 年 05 月 21 日 没有评论 | 236,238 views
Apache官方的struts2产品，最近出了一个远程代码执行漏洞，编号“S2-013”，目前是0DAY，官方没有修补方案出现。
[……]
Struts2多个漏洞简要分析
作者: 空虚浪子心 日期: 2012 年 11 月 22 日 没有评论 | 128,533 views
1月份，SEC Cousult发布了一篇关于struts2漏洞的文章，写到4个struts2的最新漏洞。一个漏洞可以做远程代码执行，一个漏洞引出了新的远程代码执行，一个漏洞曾经我在blog上发布过（没有投CVE），以及一个之前也曾看到过，但是认为是鸡肋的漏洞。本文是对这几个漏洞的分析。[……]
Xcon2012 攻击JAVA WEB议题下载
作者: 空虚浪子心 日期: 2012 年 09 月 18 日 没有评论 | 25,807 views
Xcon2012 攻击JAVA WEB议题下载[……]
SAE云服务安全沙箱绕过5(强制修改class私有权限)
作者: 空虚浪子心 日期: 2012 年 08 月 20 日 没有评论 | 11,031 views
作者在文章《SAE云服务安全沙箱绕过4(绕过文件权限防御)》http://inbreak.net/archives/436 提到过一个重要的类，是用来SAE做安全认证的，它叫做“com.sina.sae.security.SaeSecurityManager”，这个类提供几个验证方法，本次BY PASS，作者又把目标放在这个类上。[……]
SAE云服务安全沙箱绕过4(绕过文件权限防御)
作者: 空虚浪子心 日期: 2012 年 08 月 09 日 没有评论 | 11,768 views
谢各位捧场，已经打到第四关了。经过几次交流，发现SAE的童鞋对安全很重视，而且持“欢迎来搞”的态度，对这样的态度，给予肯定，有了这样的态度，作者才有了继续下去的欲望，我们都相信SAE最终会变得越来越安全。[……]