在利用反序列化注入内存马的实战中，通常遇到环境都是建立在以Tomcat为容器的环境中的。 而Tomcat具有一个maxHttpHeaderSize参数：限制请求包请求头加起来的字符数总和长度，包括GET /XXX?a=xxx。如果超过这个值就返回400。 在Tomcat的Server.xml或在Spring的application.properti…

简单概括一下Springboot的源码流程架构，一些比较重要的类和细节会详细写出来。 Springboot的启动流程 我们知道，Springboot就是靠这串SpringApplication的静态方法便启动了web服务： SpringApplication.run(DemoApplication.class, args); 它的实现是封装了一个S…

要完整跟Tomcat可以看看https://juejin.cn/post/7152446633194553374#heading-2系列，这篇文章就粗略地介绍一下。 IDEA搭建调试tomcat web流程： 1. 在Project Structure/Modules中增加一个IDEA的自带web模块，会自动生成web包，并附带标准的文件结构。 2…

最近复现ruoyi框架历史漏洞时出现了这个漏洞，自己复现源码以及漏洞的时候感觉网上的文章很多地方讲的摸棱两可，也没有版本升级后bypass的后续了；并且我自己在debug的途中也找到了一个额外的触发点(虽然比较鸡肋，但还是小有成就感^^)，总体感觉就是不够完备。正好最近想要重启我的博客，干脆就此写一篇详细分析Thymeleaf模板注入的文章。😀 这…