J2EEScan：J2EE安全扫描（Burp插件）什么是J2EEScan
J2EEScan是⼀个基于Web安全扫描套件Burp Suite Proxy的插件，增加了针对J2EE应⽤的安全扫描测试项⽬。
它是如何⼯作的？
该插件已完全集成到Burp Suite 扫描; 它增加了⼀些新的测试⽤例和新策略去发现不同的J2EE安全漏洞。
Jetty版本检测和远程泄漏共享缓冲区漏洞（CVE-2015⾄2080年）
Apache Wicket的任意资源访问（CVE-2015-2080）
测试案例:
杂项
表达式语⾔注⼊ (CVE-2011-2730)
Apache Roller OGNL 注⼊ (CVE-2013-4212)
本地⽂件包含 - /l Retrieved
本地⽂件包含 - Spring 应⽤上下⽂检索
本地⽂件包含 - l 检索
本地⽂件包含 - l 检索
本地⽂件包含 - l 检索
本地⽂件包含 - i检索
本地⽂件包含 - l 检索
本地⽂件包含 - /etc/shadow 检索
本地⽂件包含 - /etc/passwd 检索
HTTP 验证弱⼝令
WEB-INF 应⽤程序配置⽂件检索
Status Servlet (CVE-2008-3273)
Snoop Servlet (CVE-2012-2170)
扩展路径遍历扫描
AJP 服务检测 - 感谢@ikki
Apache Struts
Apache Struts 2 S2-023 - 感谢 @h3xstream
Apache Struts 2 S2-016
下载apacheApache Struts 2 S2-017
Apache Struts 2 S2-020
Apache Struts 2 S2-021
Apache Struts DevMode 启⽤
Apache Struts OGNL控制台
Grails
Grails 路径遍历 (CVE-2014-0053)
Apache Wicket
Apache Wicket 任意资源访问 (CVE-2015-2080)
Java Server Faces
Java 服务器⾯临本地⽂件包含 (CVE-2013-3827 CVE-2011-4367) JBoss SEAM
JBoss SEAM 远程命令执⾏ (CVE-2010-1871)
不正确的错误处理
JSF
Apache Struts
Apache Tapestry
Grails
GWT
Java
XML 安全
XInclude ⽀持
XML 外部实体
信息披露问题
远程 JVM 版本
Apache Tomcat 版本
Jetty 版本
Oracle 应⽤服务器版本
Oracle Glassfish 版本
Oracle Weblogic 版本
合规性检查
JBoss
JBoss Web 服务枚举
JBoss 管理控制台弱⼝令
JBoss JMX/Web 控制台没有密码保护
JBoss JMX 调⽤远程命令执⾏
Tomcat
Tomcat 管理器控制台弱⼝令
Tomcat 主机管理控制台弱⼝令
End Of Life Software - Tomcat
Weblogic
Weblogic UDDI浏览器检测
Weblogic UDDI浏览器SSRF漏洞 (CVE-2014-4210)
Weblogic 管理控制台弱⼝令
Oracle 应⽤服务器
添加⽇志检查Oracle数据库访问
增加了检查多个Oracle应⽤服务器的默认资源(CVE-2002-0565, CVE-2002-0568, CVE-2002-0569) End Of Life Software - Oracle Application Server
Jetty
Jetty 远程泄漏共享缓冲区 (CVE-2015-2080) found by @gdssecurity
End Of Life Software - Jetty
Apache Axis
Apache Axis2 - Web服务枚举
Apache Axis2 - 管理控制台弱⼝令
Apache Axis2 - 本地⽂件包含漏洞(OSVDB 59001)
如何安装 ?
从 "Cookie jar" 选择"Options" -> "Sessions"启⽤扫描仪领域
加载 J2EEscan.jar 在 Burp Extender 标签，或者从BApp Store下载
该插件⾄少需要的Java 1.7版本⽀持

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。