nc日志打印_漏洞预警 | 用友NC反序列化远程命令执行漏洞

0x00  漏洞编号

• 暂无

0x01 危险等级

• 高危

0x02 简介

用友NC是为企业提供建模、开发、继承、运行、管理一体化的IT解决方案的信息化平台。用友NC为C/S架构，使用JAVA编程语言开发，客户端可直接使用UClient，服务端接口为HTTP。

0x03 漏洞概述

根据万物皆可调定理，综合使用java agent和 jdwp的方式进行调试，java agent是为了准确定位打断点的位置。Java agent的Transformer代码如下，目的是将实时调用的类打印出来，方便打断点，jdwp调试不多说：

package org.javaweb;import org.apache.log4j.Logger;import java.lang.instrument.ClassFileTransformer;import java.lang.instrument.IllegalClassFormatException;import java.security.Prot