LeadroyaL's website

之前有段时间在搞jackson反序列化漏洞的检测，网上看到各种各样的文章，很多抄来抄去的，真是辣鸡，虽然我不懂，但也知道他们有些人在胡扯。本系列文章系统地介绍java里的json反序列化漏洞成因、防御方式、检测方式、利用方式。因为本人接触这些不久，如有错误，还请大佬留言指正。

本文是第一篇，讲讲jackson的基础知识。

今天准备整理一下git仓库，准备下一期的开发，写一下中间新学到的几个技巧。

前段时间在搞应急，从一个啥都不会的小白学了一些XXE的简单poc构造和防御手段，网上攻击的poc很多，就不多说了，防御方法五花八门，而且有些防御根本就是无效的！！写篇文章分享一下，如何用Java彻底防御XXE。

最近一周都在搞这玩意了，写点文档给后人参考吧。

gradle 自身不提供打包 jar 的功能，后人各种自定义、乱写、以讹传讹，导致经常打包出来的 jar 都不能用，本文介绍三种方式，一种存在风险的方式，两种正确的方式。

上线时候，公司要求使用log4j2，而soot 用的是 slf4j-simple，这个老项目大改起来也不好改，所以比较坑，本文记述一下这个迁移过程。

三个小技巧，工作中遇到了好几次，记录一下，方便后人和自己查看。

最近写 project，但线上发布需要使用 gradle，开发的时候并没有思考这件事，所以就埋了一个巨大的坑，本文描述一下这个恶心的过程，浪费了我一整天的时间。

gradle 有些依赖要翻墙，有些依赖不要翻墙，不知道为啥，设置好代理后怎么都删不掉了，intellij 里试了几遍，记录一下如何删除gradle代理。
关键字：gradle proxy clear delete
真是坑死我了，死活删不掉，看下文吧。

今天旁边的小伙伴准备 ssh 自己的新创建的服务器，发现怎么都 ssh 不上去，我也想了很久，最后灵机一动突然搞定了。记录一下所有的可能吧。

6月8日就是我离开科恩实验室的日子了，科恩是个好团队，记录一下这段时间发生的事情，希望后人在遇到选择的时候不要在踩坑了。

之前说送一些人我的签名，发现我没有 GPG 签名，写篇文章记录一下，网上相关简单操作挺多，详细说明挺少的，开个文章记录一下。

5月27日晚，微博上看到些QQ 上发送 [菜刀]+数字+[表情]就会被转为骂人的话，28日中午就分析完了，但一直懒得发出来，今天补上。吐槽一下知乎上的某些沙雕分析文（小声 bb）

《welcome to droid》，傻逼题目。。。

强网杯2018题目：《simple》《picture lock》《hide》、《babyre》、《re》writeup。

远程支援，做了三个逆向，一个《GoCrack》，两个游戏题《Game》，输出还行。

空余时间刷了下ddctf，ak 了 android，不难，整理发一下 writeup。

HITB-CTF 2018 有2个安卓题《multicheck》、《kivy_simple》，抽空稍微做了一下，挺简单的。

ripples 大佬出的安卓逆向，做起来好坑，瞎搞八搞终于做出来了。时间过去有点久，忘了这题在干嘛了。。。

QQ 出了表情骂人的 bug 后，随手逆了一下，过程中发现有些调用过程颠覆了我的三观，出现了同名同参数、返回值不一样的两个方法，这样代码编译都不过，为什么会正常运行呢？