Jboss反序列化漏洞

最新推荐文章于 2024-03-29 09:34:30 发布
最新推荐文章于 2024-03-29 09:34:30 发布
阅读量231 收藏 1
点赞数
分类专栏： it 文章标签： java 服务器 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/arissa666/article/details/133832762
版权

run.bat运行jboss

看下server.xml 端口设置的多少

打开jboss

用jboss反序列工具进行扫描

执行命令，因为存在jboss存在漏洞，所以执行命令得到结果

找一下jboss的目录  dir /s c:\*.jsp

先选一个jboss目录上传试一下

把斜杠改成反斜杠

给这个目录上传一个脚本csits.jsp

上传后在当前目录就可以看到

查看上传的文件网址

http://192.168.246.11:3333/jobfan/csits.jsp结构是IP：端口/文件夹/脚本文件名

登录密码whoami

在自己上传的文件上执行命令得到自己想要的信息

dir命令

学海无涯一叶扁舟
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
jboss反序列化漏洞检测工具
02-15
jboss中间件的反序列化漏洞检测工具，可检测主机搭建的中间件并获得shell
Jboss（CVE-2017-12149）反序列化命令执行漏洞
weixin_51151498的博客
12-11 2196
Jboss（CVE-2017-12149）反序列化命令执行漏洞
JBoss反序列化
Massimo__JAVA的博客
07-15 516
jBoss是一个基于J2EE的开发源代码的应用服务器。JBoss代码遵循LGPL许可， 可以在任何商业应用中免费使用。JBoss是一个管理EJB的容器和服务器，支持EJB1.1、 EJB 2.0和EJB3的规范。但JBoss核心服务不包括支持servlet/JSP的WEB容器,一般与Tomcat或Jetty绑定使用。
随记（七）：Jboss漏洞检测利用工具
XXR_Beta的博客
12-06 4386
Jboss漏洞检测利用工具0x01 安装方法0x02 使用方法 Jexboss是一个使用Python编写的Jboss漏洞检测利用工具，通过它可以检测并利用web-console，jmx-console，JMXInvokerServlet这三个漏洞，并且可以获得一个shell。 工具下载：https://github.com/joaomatosf/jexboss 此工具除了可以对Jboss框架进行漏洞检测，还可以对其它Java平台、框架、应用等反序列化漏洞进行检测。 0x01 安装方法 ## 克隆项目至本地
Jboss中间件两大漏洞分析
fansenliangren的博客
12-28 1528
反序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，ObjectInputStream类的readObject()方法用于反序列化。
探索JBoss漏洞利用工具：`jbossvulnscan`
最新发布
gitblog_00094的博客
03-29 716
探索JBoss漏洞利用工具：jbossvulnscan 项目地址:https://gitcode.com/yunxu1/jboss-_CVE-2017-12149 项目简介 jbossvulnscan是一个针对JBoss应用服务器的安全扫描工具，它旨在帮助安全研究人员和系统管理员发现并利用CVE-2017-12149这个高危漏洞。这个漏洞允许未经身份验证的远程攻击者执行任意代码，对系统的安全性构...
Java反序列化漏洞利用工具.zip
04-10
标题"Java反序列化漏洞利用工具.zip"表明该压缩包内包含了针对Java反序列化漏洞的利用工具，特别提到了针对JBOSS和WebLogic两个流行的Java应用服务器。JBOSS和WebLogic都是企业级的应用服务器，广泛用于部署各种业务...
JBOSS反序列化漏洞工具
03-28
通过JBOSS4 commons-collections.jar包的反序列化类InvokerTransformer, InstantiateFactory 和 InstantiateTransfromer class 文件可以远程操控服务器
java反序列化漏洞利用工具Jboss&WebLogic;.rar
07-23
jboss利用里添加一键getshell功能，利用的是jboss的热部署功能，直接部署一个war包，一键返回一个菜刀shell 3. 反弹shell部分更完美，不再加载远程war包，直接发包完成反弹。 4. jboss回显执行命令部分利用异常抛出...
JBossMQJMS 反序列化漏洞（CVE-2017-7504）漏洞利用工具
07-23
JBossMQJMS 反序列化漏洞（CVE-2017-7504）是针对企业级Java消息服务（JMS）提供商JBossMQ的一个严重安全问题。该漏洞源于应用程序未能正确处理反序列化的对象，使得攻击者可以通过精心构造的恶意输入触发任意代码...
Jboss Application Server反序列化命令执行漏洞利用工具（CVE-2017-12149）
07-23
CVE-2017-12149漏洞利用工具，针对该漏洞快速方便的进行利用。
Java反序列化漏洞利用工具（WebLogic&Jboss）
01-01
使用注意： 1. WebLogic反弹需要等5秒左右 2. 该工具为对外测试版，请尽量按照正常思路来用，比如Url填写清楚，IP地址写对了，报错或者抛异常神马的别怪我，调输入校验好蛋疼。 本工具与网上已公布工具优点： 1. 综合实现网上公布的代码执行、反弹 2. jboss利用里添加一键getshell功能，利用的是jboss的热部署功能，直接部署一个war包，一键返回一个菜刀shell 3. 反弹shell部分更完美，不再加载远程war包，直接发包完成反弹。 4. jboss回显执行命令部分利用异常抛出机制，本地（4.2.3.GA）测试成功，其他版本请自测 5. 体积更小，不再依赖java环境，但程序采用.net编写，需要.net 4.0环境 待完成： weblogic回显结果测试中，稍后加入
Java反序列化漏洞利用工具（WebLogic&Jboss;）
10-10
使用注意： 1. WebLogic反弹需要等5秒左右 2. 该工具为对外测试版，请尽量按照正常思路来用，比如Url填写清楚，IP地址写对了，报错或者抛异常神马的别怪我，调输入校验好蛋疼。 本工具与网上已公布工具优点： 1. 综合实现网上公布的代码执行、反弹 2. jboss利用里添加一键getshell功能，利用的是jboss的热部署功能，直接部署一个war包，一键返回一个菜刀shell 3. 反弹shell部分更完美，不再加载远程war包，直接发包完成反弹。 4. jboss回显执行命令部分利用异常抛出机制，本地（4.2.3.GA）测试成功，其他版本请自测 5. 体积更小，不再依赖java环境，但程序采用.net编写，需要.net 4.0环境 待完成： weblogic回显结果测试中，稍后加入
JAVA反序列化jboss 进入后台（及送JAVA反序列化工具和中国cai dao）
12-10
JAVA反序列化教程，利用JAVA反序列化软件进行检测，寻找，已经涉及到部分CMD命令和寻找网页IP，以及远程登陆简单介绍
JBoss 相关漏洞复现及利用
weixin_45908624的博客
09-21 1078
JBoss Application Server 相关漏洞复现
一个简单探测jboss漏洞的工具
网络安全。
02-13 2922
0x01 项目介绍 自研工具。批量探测jboos系列漏洞路径，特别在内网渗透中，提高效率。（此工具仅探测漏洞所在路径，漏洞是否存还需对应exp验证。） 项目地址：https://github.com/GGyao/jbossScan 0x02 jboss漏洞介绍 CVE-2015-7501 JBoss JMXInvokerServlet 反序列化漏洞。此漏洞存在于JBoss中/invoker/JMX...
深入浅出带你学习JBoss中间件常见漏洞
Web_boom的博客
02-16 843
简单来说可以介绍为一个开源的符合J2EE规范的应用服务器，作为J2EE规范的补充，Jboss中引入了AOP框架，为普通Java类提供了J2EE服务，而无需遵循EJB规范。该中间件的特点如下：它将具有革命性的JMX微内核服务作为其总线结构；它本身就是面向服务的架构（Service-Oriented Architecture，SOA）；它还具有统一的类装载器，从而能够实现应用的热部署和热卸载能力。了解完JBOSS中间件的介绍，下面我们来讲关于该中间件的漏洞。
java反序列化漏洞利用工具_红队攻击之利用jboss反序列化获取目标权限漏洞梳理
weixin_39963287的博客
12-02 659
JBOSS AS 6.x反序列化(CVE-2017-12149)漏洞影响5.x和6.x版本的JBOSSAS1、检测目录 192.168.28.138:60899/invoker/readonly2、Linux下编译java代码，然后生成反弹shell序列化文件，内容较长，可私信“jboss”获取代码javac -cp .:commons-collections-3.2.1.jar ReverseS...
JBoss-4.x-JBossMQ-JMS-反序列化
bqnagus
10-02 469
JBoss-4.x-JBossMQ-JMS-反序列化
jboss反序列化漏洞
08-16
JBoss反序列化漏洞是指JBoss应用服务器中存在的一种安全漏洞，具体表现为Java反序列化错误类型。该漏洞存在于JBoss的HttpInvoker组件中的ReadOnlyAccessFilter过滤器中。该过滤器在没有进行任何安全检查的情况下尝试...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值