一个伪***的成功的秘密2：Jboss***

咱们前面分享了TOMCAT***的一点小小经验。下面咱们分享一下最常见和简单的Jboss***。Jboss一个基于J2EE的开放源代码的应用服务器，JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使用。JBoss的默认端口是8080 ，也有人经常配置为80,许多管理员部署完Jboss后不进行安全加固，对外开放了管理界面，且为默认口令，同时有些版本的Jboss也有关的一些漏洞可以利用。***者们常利用这个配置不当或是漏洞，进行***的上传，然后，嘿。。JSP马很多，功能就不讨论了。

前几日，大侠处理了一个安全应急事件，***者就是利用这个来进行***的。我把过程回放一下，希望对大家有所帮助。

1、漏洞或管理界面的查找，用谷歌。直接输入jmx-console，查找开了jmx-console管理界面的网站，定然会有许多收获。或是查找常见JSP***的文件名，也会有收获，都是别人已经***的站点。比如有一个***，它有多个目录，你只需要搜索任意或多个目录名或文件名：console-mgr、idssvc、iesvc、wstats、zecmd、zmeu。一不小心 就发现有N个被***的网站，甚至多个为政府网站。

 

以上三个图片，就是被上传的***。

2、***的上传。通过管理界面，进行***上传，某网站有弱口令，

1. Jboss管理界面未限制，公网可任意访问，且使用默认口令，可上传***，进行***

http://xxx.xxx.xxx.xxx/web-console/

用户名：admin

密码：admin

恶意***者就有可能在服务器上执行添加管理员账号的命令或下载***程序并运行的命令，最终达到其控制服务器的目的。

恶意***者可以通过该方法向服务器上传后门程序，从而获取对服务器的完全控制权；同时可以通过该方法覆盖服务器上的任意文件，从而造成数据丢失或系统损坏等。

许多站点，不用登陆，直接就能进行管理界面。http://xxx.xxx.xxx.xxx:8080/jmx-console/HtmlAdaptor?action=displayMBeans

如何上传***呢，在管理界面中查找：jboss.deployment 或是查找：flavor=URL,type=DeploymentScanner

进入找到：URLList，即可在后面看到WAR程序安装包路径，甚至其他***者行为时的***地址，这也算是个收获：

 

咱们继续说上传的事吧，在下面找到的void addURL()，即可上传***，输入***的地址（war压缩文件webshell的url地址），点击Invoke.

这样***就上传成功了，然后运行，

 

 

3、安全建议：给jmx-console加上访问密码，并限制在公网的访问。同时检查版本是否有漏洞，是否需要升级。

1.在 ${jboss.server.home.dir}/deploy下面找到jmx-console.war目录编辑WEB-INF/web.xml文件 去掉 security-constraint 块的注释，使其起作用

2.编辑WEB-INF/classes/jmx-console-users.properties或server/default/conf/props/jmx-console-users.properties (version >=4.0.2)和 WEB-INF/classes/jmx-console-roles.properties

或server/default/conf/props/jmx-console-roles.properties(version >=4.0.2) 添加用户名密码

3.编辑WEB-INF/jboss-web.xml去掉 security-domain 块的注释 ，security-domain值的映射文件为 login-config.xml （该文件定义了登录授权方式）

参考地址：https://community.jboss.org/wiki/SecureTheJmxConsole

 

4、总结：

系统部署完成后，修改口令、限制访问、删除中间过程或临时文件；

对系统进行自评估，比如Acunetix Web Vulnerability Scanner ；

不要对外开放管理界面、或不要使用默认的管理界面；

如无必要，可以限制服务器访问外网的权限，防止反弹。

定期检查自己所有应用或程序的安全，是否有暴出漏洞或0day，及时修补。