本文介绍四个Rust项目：fcmaes-rust提供并行黑箱优化算法及22个教程；Apache Fory 1.5.0支持外部类型序列化，JSON性能大幅提升；BorrowSanitizer优化垃圾回收后平均提速1.90倍，发现跨语言别名错误；job-control实现支持作业控制的Unix shell。

Qt框架的QtXml模块存在XML注入漏洞（CVE-2026-15037），影响Qt 4、5及6.12之前版本。当应用将不可信文本插入QDom注释、CDATA或处理指令节点并序列化时，攻击者可注入恶意标记，破坏文档结构。CVSS评分2.9（低危）。缓解措施：设置无效数据策略为ReturnNullNode或DropInvalidChars，并验证输入。升级至Qt 6.12或更高版本可修复。

本文介绍Shiro反序列化漏洞的进阶利用方法：通过修改加解密Key来独占控制权。作者指出默认Key可被反射修改，但需同时更新`encryptionCipherKey`和`decryptionCipherKey`。提供两种方案：改配置重启（不可取）或利用Filter内存马动态修改Key，并给出代码示例。修改后原Key失效，攻击工具无法再利用，但重启会失效，且需谨慎操作以免影响业务。

本文介绍Java反序列化漏洞回显的两种解决方案：一是通过自定义类加载器（defineClass）将恶意字节码转为类并执行命令，利用异常抛出回显结果；二是使用URLClassLoader远程加载jar/class文件实现回显。文章还提供了相关代码示例，并指出可结合CC链改造利用。

本文介绍Java反序列化漏洞的原理与利用。序列化将对象转为字节流存储或传输，反序列化则恢复对象。漏洞需满足三个条件：实现Serializable接口、使用readObject()和writeObject()方法。通过重写readObject()可执行恶意命令，如Runtime.exec("calc")。攻击者控制反序列化过程即可触发漏洞，常见利用工具包括ysoserial，建议新手从URLDNS链学习。

本教程介绍如何使用CodeQL查找Apache Struts中的不安全XML反序列化漏洞（CVE-2017-9805）。通过编写查询，识别XStream的fromXML调用及ContentTypeHandler接口的toObject方法，并利用数据流分析追踪不受信任数据流向，最终定位漏洞。教程包含详细步骤、代码示例和路径问题查询转换，帮助用户掌握CodeQL在Java安全分析中的应用。

本文分析银行CTF比赛中的Shiro反序列化题目，涉及CVE-2020-13933权限绕过漏洞和反序列化点。通过构造恶意Cookie触发LogHandler类的toString方法执行命令，详细介绍了黑盒测试、代码审计、Payload构造过程，并补充了Shiro相关知识，最终成功利用漏洞。

本文介绍使用CodeQL数据流分析挖掘Java反序列化漏洞。作者以Shiro-CTF项目为例，通过查找实现Serializable接口的类定位入口，分析User类实例化及Tools类反序列化方法，确定source（用户可控的request参数）和sink（deserialize的bytes参数），并尝试全局污点分析。最终使用RemoteFlowSource成功追踪数据流，发现LogHandler调用exeCmd可被利用，完成漏洞挖掘。

本文讨论了银行CTF比赛中的shiro反序列化题目，分析了权限绕过和反序列化漏洞。通过黑盒和白盒测试，发现shiro版本存在CVE-2020-13933漏洞。深入分析源码，确认反序列化点和命令执行漏洞，并成功构造payload执行命令。总结了shiro的知识和反序列化链的构建过程。

本文讨论了Java反序列化漏洞的回显问题，介绍了如何利用自定义类加载器和CC链实现反序列化回显，并通过示例代码展示了加载字节码和执行命令的过程。文章强调了Java类加载机制的安全隐患，鼓励读者探索更多反序列化攻击方式。

Java反序列化漏洞是安全领域的重要问题，涉及将存储的数据转换为内存对象。实现该漏洞的条件包括实现Serializable接口和使用readObject()方法。通过控制readObject()方法，可以执行恶意代码。深入理解反序列化漏洞可参考ysoserial工具及相关文献。

ShiroAttack2 是一款针对 Shiro-550 漏洞的快速利用工具，支持 GUI 和 CLI 模式。该漏洞因默认 Key 难以更换且利用成本低而持续存在。工具特点包括多版本支持、自动 AES 模式切换、内存马注入和多样的回显类型，适合脚本化和 AI 调用。