本文介绍了Hessian轻量级RPC框架的反序列化RCE问题，通过搭建测试环境、启动JNDI利用工具、生成payload、发送payload到服务器以及分析过程，详细展示了如何复现此漏洞。利用marshalsec工具生成Resin payload，通过Java客户端调用服务器方法，揭示了HessianServlet中可能存在的安全风险。
Hessian是一个轻量级的RPC框架。它基于HTTP协议传输，使用Hessian二进制序列化，对于数据包比较大的情况比较友好。
Hessian反序列化类似Java反序列化,可导致RCE,POC好像2017年就公开了，但是最新版本hessian-4.0.60.jar,经过测试也存在反序列化RCE问题。
使用marshalsec项目工具(https://github.com/mbechler/marshalsec)可生成利用payload,包括SpringCompAdv,Resin, ROME, XBean
下面使用Resin payload复现Hessian反序列化RCE漏洞
一、搭建测试环境
测试环境使用最新jar包
将HessianTest.war放到tomcat/webapp/目录下并启动tomcat
最低0.47元/天 解锁文章
2393
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
