最近一段时间都在审计 Java 代码，也算是积累了一些各式各样小技巧，但总感觉不够体系化。因此有必要先停下来，跳出业务逻辑并后退一步，更加深入地思考一下漏洞背后的成因。

Fuzzing QR Code for fun and no profit~

书接上回，这次对 Spring Boot、Spring Data 以及 Spring Security 中的一些核心概念进行介绍并分析一些典型的历史漏洞。

本文的主要目标是分析、总结、归纳历史上出现过的 Spring 框架漏洞，从而尝试找出其中的潜在模式，以达到温故知新的目的。当然作为一个 Java 新手，在直接分析漏洞之前，还是会先从开发者的角度去学习 Spring 中的一些核心概念，从而为后续的理解奠定基础。

尝试卷入 Java 安全

Java 在历史上出现过许多反序列化的漏洞，但大部分出自 J2EE 的组件。即便是 FastJSON 这种漏洞，似乎也很少看到在 Android 中被实际的触发和利用。本文即为对历史上曾出现过的 Android Java 反序列化漏洞的分析和研究记录。

本文介绍一种在 Andorid 中实现单应用、全局、优雅的抓包方法。

随着社会越来越重视安全性，各种防御性编程或者漏洞缓解措施逐渐被加到了操作系统中，比如代码签名、指针签名、地址随机化、隔离堆等等，许多常见的内存破坏漏洞在这些缓解措施之下往往很难进行稳定的利用。因此，攻击者们的目光也逐渐更多地投入到逻辑漏洞上。逻辑漏洞通常具有很好的稳定性，不用受到风水的影响；但同时也隐藏得较深、混迹在大量业务代码中难以发现。而且由于形式各异，不太具有通用性，从投入产出比的角度来看可能不是一个高优先级的研究方向。但无论如何，这都始终是一个值得关注的攻击面。因此，本文就以 Android 平台为目标介绍一些常见的逻辑漏洞。

本文主要解决的是这么一个问题: 在 IDA 中如何查找两个函数之间的调用路径？

Hacking glibc for fun and profit!