ApacheStruts2 目录遍历与文件上传漏洞复现（CVE-2024-53677,S2-067）（附脚本）
0x01 产品描述：
Apache Struts 2 是一个用于JAVA的MVC框架，它用于快速开发web应用。它的设计目标是使得开发者能够更容易的处理web应用的展现层，数据层，和业务层。
0x02 漏洞描述：
CVE-2024-53677 漏洞的根本原因是 Struts 框架中不安全的文件上传处理机制。攻击者利用 CVE-2024-53677 漏洞时，首先会通过构造恶意文件上传请求，利用文件上传表单或API接口，尝试将带有特殊路径的文件上传到服务器。攻击者可以在上传的文件路径中插入“../”序列，从而访问系统中其他目录的文件，甚至修改或执行系统文件。
如果上传的恶意文件是可执行的脚本或二进制文件（如PHP、JSP等），并且服务器对文件类型的检测不严格，攻击者就可以通过执行这些文件，获得对服务器的远程控制权限。例如，攻击者可以上传一个带有反向 shell 的脚本文件，进而实现对服务器的完全控制。同时攻击者可利用存在的路径遍历使用“../”等手段访问和操作本应无法访问的文件和目录。
0x03 影响版本：
Struts 2.0.0 - Struts 2.3.37
Struts 2.5.0 - Struts 2.5.33
Struts 6.0.0 - Str
相关文章：
ApacheStruts2 目录遍历与文件上传漏洞复现（CVE-2024-53677,S2-067）（附脚本）
0x01 产品描述： Apache Struts 2 是一个用于JAVA的MVC框架，它用于快速开发web应用。它的设计目标是使得开发者能够更容易的处理web应用的展现层，数据层，和业务层。0x02 漏洞描述： CVE-2024-53677 漏洞的根本原因是 Struts 框架中不安全的文件上传处理机制。攻击者利用 CVE…...
Scala字符串连接方法—mkString—用法详解
Scala字符串连接方法—mkString—用法详解 在 Scala 中，mkString 是集合（如数组、列表、字符串等）的一种方法，用于将集合中的元素连接成一个字符串。 def mkString(sep: String): Stringdef mkString(start: String, sep: String…...
[实战]Spring Boot启动卡在Root WebApplicationContext initialization completed in
Spring Boot启动 打印Root WebApplicationContext: initialization completed in…这行日志完成后需要等很长时间才能真正启动完成。 分析一下发现是连接某个机器的MySQL就会出现这种情况。使用客户端软件连接MySQL时也很慢，但连接完成后执行MySQL各种语句非常看。…...
什么样的LabVIEW控制算自动控制？
自动控制是指系统通过预先设计的算法和逻辑，在无人工干预的情况下对被控对象的状态进行实时监测、决策和调整，达到预期目标的过程。LabVIEW作为一种图形化编程工具，非常适合开发自动控制系统。那么，什么样的LabVIEW控制算作“自动…...
xshell下载和安装（超详细）
参考:https://blog.csdn.net/hffh123/article/details/135885175 一、xshell官网下载 下载官网：https://www.xshell.com/zh/free-for-home-school/ 二、安装步骤 （一）、直接打开.exe文件 （二）、点击下一步ÿ…...
NS3学习——tcpVegas算法代码详解（2）
NS3学习——tcpVegas算法代码详解（1）-CSDN博客 目录 4.TcpVegas类中成员函数 (5) CongestionStateSet函数 (6) IncreaseWindow函数 1.检查是否启用 Vgas 2.判断是否完成了一个“Vegas 周期” 2.1--if：判断RTT样本数量是否足够 2.2--e…...
PyTorch 神经网络回归（Regression）任务：关系拟合与优化过程
PyTorch 神经网络回归（Regression）任务：关系拟合与优化过程 本教程介绍了如何使用 PyTorch 构建一个简单的神经网络来实现关系拟合，具体演示了从数据准备到模型训练和可视化的完整过程。首先，利用一维线性空间生成带噪…...
链原生 Web3 AI 网络 Chainbase 推出 AVS 主网， 拓展 EigenLayer AVS 场景
在 12 月 4 日，链原生的 Web3 AI 数据网络 Chainbase 正式启动了 Chainbase AVS 主网，同时发布了首批 20 个 AVS 节点运营商名单。Chainbase AVS 是 EigenLayer AVS 中首个以数据智能为应用导向的主网 AVS，其采用四层网络架构，其中…...
es 3期 第18节-分页查询使用避坑的一些事
#### 1.Elasticsearch是数据库，不是普通的Java应用程序，传统数据库需要的硬件资源同样需要，提升性能最有效的就是升级硬件。 #### 2.Elasticsearch是文档型数据库，不是关系型数据库，不具备严格的ACID事务特性ÿ…...
linux检测硬盘
通过fdisk 查看显示所有磁盘或闪存的信息 fdisk -l /dev/sd*使用 badlocks检查 linux 硬盘上的坏道/坏块。也可以修复坏道，但仅限于逻辑坏道，物理坏道只能更换硬盘 badblocks -s -v /dev/vdb1 > /badblocks-vdb1.txt tail -f badblocks-vdb1.txt #检…...
)
Unity3d 基于UGUI和VideoPlayer 实现一个多功能视频播放器功能(含源码)
前言 随着Unity3d引擎在数字沙盘、智慧工厂、数字孪生等场景的广泛应用，视频已成为系统程序中展示时，不可或缺的一部分。在 Unity3d 中，我们可以通过强大的 VideoPlayer 组件和灵活的 UGUI 系统，将视频播放功能无缝集成到用户界面…...
Ubuntu22.04 LTS 安装nvidia显卡驱动
准备跑老师给定的Github上的多模态源码，但是用了这么久ubuntu还没有尝试过安装nvidia驱动，好在也是一次成功，于是记录下来。 借鉴的是Ubuntu22.04安装显卡驱动(高速、避错版)-CSDN博客这篇文章，按照流程来基本没有问题，不过个人觉得有些步骤比较冗余，所以记录下来 主要…...
第5章课后作业)
Linux编程(清华大学出版社2019年1月第1版)第5章课后作业
5.1 对于执行在时间上有重叠的逻辑流，称为并发流，并发流是并发的 并发不并发并发 5.2 几个箭头几个状态转换关系，箭头上写了可能原因。 在就绪状态不会执行指令，不会有IO请求或主动wait的情况，不会有从就绪状态到阻…...
相机雷达外参标定综述“Automatic targetless LiDAR–camera calibration: a survey“
相机雷达外参标定综述--Automatic targetless LiDAR–camera calibration: a survey 前言1 Introduction2 Background3 Automatic targetless LiDAR–camera calibration3.1 Information theory based method(信息论方法)3.1.1 Pairs of point cloud and image attributes(属性…...
JSON 系列之1：将 JSON 数据存储在 Oracle 数据库中
本文为Oracle数据库JSON学习系列的第一篇，讲述如何将JSON文档存储到数据库中，包括了版本为19c和23ai的情形。 19c中的JSON 先来看一下数据库版本为19c时的情形。 创建表colortab，其中color列的长度设为4000。若color的长度需要设为32767&a…...
之ShardingSphere分库分表实战指南)
分布式专题(10)之ShardingSphere分库分表实战指南
一、ShardingSphere产品介绍 Apache ShardingSphere 是一款分布式的数据库生态系统， 可以将任意数据库转换为分布式数据库，并通过数据分片、弹性伸缩、加密等能力对原有数据库进行增强。Apache ShardingSphere 设计哲学为 Database Plus，旨在…...
支付宝订单码支付
1.订单码支付，首先下载官方网站提供的sdk包到你的项目中。 2.选择控制器复制官方文档的获取二维码相关的代码示例。打开sdk包中v2的index.php文件，这个才是你选择语言的具体代码。 3.引用里面所需要的类文件，文件下载到你的项目中后…...
使用 Django 和 AWS ECR 实现容器化应用的管理
在现代云原生应用的开发和部署中,容器化技术已经成为主流。Amazon Elastic Container Registry (ECR) 是一种完全管理的 Docker 容器注册表服务,可以与 Amazon ECS、EKS 和其他容器服务无缝集成。在这篇文章中,我们将介绍如何使用 Django 和 AWS ECR 实现集成管理,包括创建、更…...
DeepWalk 原理详解
概述： DeepWalk 是一种流行的图嵌入方法，用于学习图结构数据中节点的低维表示。它通过将图的节点视作序列数据，利用自然语言处理中的技术（类似于word2vec算法）来捕捉节点间的关系，可以帮助我们理解和利用图…...
深入理解批量归一化（BN）：原理、缺陷与跨小批量归一化（CmBN）
在训练深度神经网络时，批量归一化（Batch Normalization，简称BN）是一种常用且有效的技术，它帮助解决了深度学习中训练过程中的梯度消失、梯度爆炸和训练不稳定等。然而，BN也有一些局限性，特别是在…...
基于Spring Boot的雅苑小区管理系统
一、系统背景与意义 随着信息化技术的快速发展，传统的小区物业管理方式已经难以满足现代居民对于高效、便捷服务的需求。因此，开发一款基于Spring Boot的小区管理系统显得尤为重要。该系统旨在通过信息化手段，实现小区物业管理的智能化、自动…...
物理层知识要点
文章目录 物理层接口的四大特性通信基础编码和调制（1）数字数据编码为数字信号（2）模拟数据编码为数字信号（3）常见调制方式（3）信道的极限容量 多路复用技术数据传输方式物理层下的传输…...
项目里用到了哪些设计模式是怎么使用的?
在软件开发项目中，设计模式是解决特定问题的通用模板或最佳实践。它们提供了一种经过验证的方式来组织代码，使其更易于理解、维护和扩展。下面我将详细介绍一些常见的设计模式及其在项目中的应用方式。 1. 单例模式（Singleton Pattern&#…...
CPU性能篇-CPU 100%如何定位根因-Day 03
1. CPU使用率 1.1 关键指标介绍 user（通常缩写为 us），代表用户态 CPU 时间。注意，它不包括下面的 nice 时间，但包括了 guest 时间。nice（通常缩写为 ni），代表低优先级用户态 CPU 时…...
访谈积鼎科技总经理：国产CFD软件发展与未来趋势展望
傅彦国，上海积鼎信息科技有限公司创始人 记者：请傅总介绍下我国流体仿真行业的发展现状是怎样的？ 傅彦国：自2018年政府加大了对核心技术自主研发的支持力度，国产CFD软件逐渐步入发展正轨。 首先，从市场规…...
四种自动化测试模型实例及优缺点详解
一、线性测试 1.概念： 通过录制或编写对应应用程序的操作步骤产生的线性脚本。单纯的来模拟用户完整的操作场景。 （操作，重复操作，数据）都混合在一起。 2.优点： 每个脚本相对独立，且不产生…...
数字后端培训项目Floorplan常见问题系列专题续集1
今天继续给大家分享下数字IC后端设计实现floorplan阶段常见问题系列专题。这些问题都是来自于咱们社区IC后端训练营学员提问的问题库。目前这部分问题库已经积累了4年了，后面会陆续分享这方面的问题。 希望对大家的数字后端学习和工作有所帮助。 数字后端项目Floor…...
NVIDIA GPU 内部架构介绍
NVIDIA GPU 架构 NVIDIA GPU 的 SM（Streaming Multiprocessor） 和 GPC（Graphics Processing Cluster） 是 GPU 架构中的关键组成部分。它们决定了 GPU 的计算能力和性能，以下是对这两个参数的详细介绍： 1. …...
)
[spring]实例化对象(静动态工厂)
在前面文章的例子当中，我们都创建了Bean对象。spring里常用的获取类的实例化对象有几种方式：构造函数获取Bean对象、静态和动态工厂获取Bean对象、实现FactoryBean规范。 因为一些步骤没有什么别的不同，所以我不会重复去讲，届时会…...
【转】arm64架构的银河麒麟系统Kylin的qt安装教程
转自：arm64架构的银河麒麟系统Kylin的qt安装教程_银河麒麟安装qt-CSDN博客 文章目录 前言 一、准备环境 安装C编译器和调试器 二、安装qt、qtcreator 检查是否已经安装过Qt组件 安装Qt组件和Qt creator 检查组件是否安装成功： 三、测试程序运行 报错 Qt…...
C# Main方法 和顶级语句详解
总目录 前言 Main方法 和顶级语句 介绍。 一、Main方法 1. 基本信息 Main 方法是 C# 应用程序的入口点。 Main 方法是应用程序启动后调用的第一个方法。C# 程序中只能有一个入口点。如果多个类包含 Main 方法，必须使用 StartupObject 编译器选项来编译程序&#…...
传输层协议分析头歌
第1关：TCP 包基础 本机使用的IP地址和TCP端口号(用;隔开):192.168.1.102;1161 gaia.cs.umass.edu的IP地址和端口号(用;隔开):128.119.245.12;80 第2关：三次握手 第一次握手，TCP SYN区段的序列号是：232129012 gaia.cs.umass.edu…...
JAVA AOP简单实践（基于SpringBoot）
天行健，君子以自强不息；地势坤，君子以厚德载物。 每个人都有惰性，但不断学习是好好生活的根本，共勉！ 文章均为学习整理笔记，分享记录为主，如有错误请指正，共同学习进步。…...
重温设计模式--迭代器模式
文章目录 迭代器模式（Iterator Pattern）概述迭代器模式的结构迭代器模式UML图C 代码示例应用场景 迭代器模式（Iterator Pattern）概述 定义： 迭代器模式是一种行为型设计模式，它提供了一种方法来顺序访问一个…...
Unity-Editor扩展GUI基本实现一个可拖拉放的格子列表
短短几百行代码，好吧，又是“参考”了国外的月亮 操作，还真地挺自然的。。。。。。国外的实现有点小牛 拖拉，增加+ 一个Element 鼠标左键长按，可以出提示 鼠标右键，清除Element, 有点小bug，不是很自然地完全清除， using System.Collections; using System.Collecti…...
Android 11添加电容笔电量监测需求
软件平台：Android11 硬件平台：QCS6125 需求：PAD接入电容笔，该笔通过驱动上报坐标及当前电量等数据，即走系统的input通道，需要系统层监测到该硬件数据，这里主要展示电量，对用户显示提…...
迈向AGI——大模型创新体验嘉年华邀请函
点击蓝字 关注我们 AI TIME欢迎每一位AI爱好者的加入！ 深度对话，思想碰撞 大模型创新体验嘉年华诚邀您与我们共同见证 智见未来，只等你来 往期精彩文章推荐 关于AI TIME AI TIME源起于2019年，旨在发扬科学思辨精神，…...
VSCode 性能优化指南：提高编码效率，减少资源占用
Visual Studio Code（简称VSCode）是一款广受欢迎的代码编辑器，以其强大的功能和丰富的插件生态系统著称。然而，随着项目规模的扩大和插件数量的增加，VSCode 的性能可能会受到影响。本文将介绍一系列优化措施，…...
如何获取 ABAP 内表中的重复项
要识别 ABAP 内表中的重复项，可以结合使用排序和循环。下面的示例展示了如何查找内部表中的重复条目： DATA: BEGIN OF itab OCCURS 0,field1 TYPE i,field2 TYPE c LENGTH 10,END OF itab,wa LIKE LINE OF itab.* Add sample data to internal table it…...
android 登录界面编写
1、登录页面实现内容 1.实现使用两个EditText输入框输入用户名和密码。 2.使用CheckBox控件记住密码功能。 3.登录时候，验证用户名和密码是否为空。 4.当前CheckBox控件记住密码勾上时，使用SharedPreferences存储用户名和密码。 5.登录时候使用Prog…...
3D-resnet 50 医学3D图像二分类python代码
离上次发布3D-resnet代码时隔两年，最近让AI推荐3D-resnet的文章给我，AI推荐了三篇 其中两篇是我两年前发的，另一篇在这里Resnet3D预训练网络...... 于是决定更新之前代码，供诸位参考1. 可以用cpu或gpu（推荐8G以上&…...
android sqlite 数据库简单封装示例（java）
sqlite 数据库简单封装示例，使用记事本数据库表进行示例。 首先继承SQLiteOpenHelper 使用sql语句进行创建一张表。 public class noteDBHelper extends SQLiteOpenHelper {public noteDBHelper(Context context, String name, SQLiteDatabase.CursorFactory fact…...
项目练习：若依-前端项目的目录结构介绍
文章目录 一、目录截图二、目录讲解 一、目录截图 二、目录讲解 1、首先，我们可以看到，这个VUE项目，只有一个App.vue，所以，它是一个单页面系统。 这个App.vue是根组件，root组件。 2、public目录 在Vue 3.…...
Android 之 List 简述
一、简单创建方式 Android 开发中，列表有很多种类，如ArrayList、LinkedList、List、MutableList等，创建列表的方式如下所示： fun listDemo() {// 使用 listOf 创建不可变的空列表val list listOf<Int>()val list1 listOf…...
-SIFT和Hash)
CV(6)-SIFT和Hash
前言 仅记录学习过程，有问题欢迎讨论 SIFT:尺度不变特征变换： SIFT提取图像的局部特征，在尺度空间寻找极值点，并提取出其位置、尺度、方向信息。SIFT的应用范围包括物体辨别、机器人地图感知与导航、影像拼接、3D模型建立、手势…...
javax.net.ssl.SSLPeerUnverifiedException: Hostname 192.168.13.13 not verified:
javax.net.ssl.SSLPeerUnverifiedException: Hostname 192.168.13.13 not verified: 前言： 之前需求推送数据是采用http:192.168.13.13:8000 后面业务需求修改为 https:192.168.13.13:443 修改后推送数据到第三方报以下异常， https://192.168.13.13:443…...
用Unity做没有热更需求的单机游戏是否有必要使用AssetBundle？
在使用Unity开发没有热更需求的单机游戏时，是否使用AssetBundle（AB包）是一个值得探讨的问题。以下是对此问题的详细分析： 一、AssetBundle的概述 AssetBundle是Unity中用于存储和加载游戏资源的打包文件，可以包含各种…...
WebRTC Simulcast 大小流介绍与优化实践
Simulcast 是 WebRTC 中的一种标准化技术 ，简称大小流。通过 Simulcast，客户端可以同时发送同一视频的多个版本。每个版本都以不同的分辨率和帧率独立编码，带宽较多的拉流端可以接收较高质量的视频流，带宽有限的拉流端则可以接收较…...
软件测试之测试用例
文章目录 测试用例测试用例的编写总结 测试用例 测试用例:描述测试点执行的文档(测试输入、执行条件、预期结果等) 作用 1.测试点能被精准执行 2.便于团队合作测试用例核心内容 用例编号、用例标题、所属模块、优先级、前置条件、测试步骤、测试数据、预期结果 测试用例的编写…...
Redis--通用命令学习
目录 一、引言 二、基础命令 1.set 2.get 3.keys 3.1 keys ？ 3.2 keys * 3.3 keys [abe] 3.4 keys [^] 3.5 keys [a-b] 4.exists 5.delete 6.expire 7.ttl 8.type 三、Redis中的过期策略（面试题） 1.惰性删除 2.定期删除 …...