【Vulhub】CVE-2017-7504 JBOSS反序列化漏洞复现

环境

目标(Kali)：http://192.168.0.11:8080/

操作机（Paroot）：192.168.0.131

 

 

过程

CVE-2017-12149和CVE-2017-7504都是反序列化漏洞，因此用的东西都是一样的，笔者这里使用上次复现CVE-2017-12149的时候的POC文件。

笔者还特别查了下两种区别：

CVE-2017-7504

影响范围：JBoss AS 4.x及之前版本。

漏洞原理：JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

 

 

CVE-2017-12149

影响范围：漏洞影响5.x和6.x版本的JBOSSAS。

漏洞原理：该漏洞位于JBoss的HttpInvoker组件中的 ReadOnlyAccessFilter 过滤