RMI反序列漏洞复现-——手把手光速复现,工具超全

2023-11-22 21:20

本文主要是介绍RMI反序列漏洞复现-——手把手光速复现,工具超全,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

RMI反序列漏洞复现-手把手光速复现,工具超全

    • 一、靶机部署:
    • 二、本机怎样查看是不是可以回显?
    • 三、attackRMI利用

RMI是REMOTE METHOD INVOCATION的简称,是J2SE的一部分,能够让程序员开发出基于JAVA的分布式应用。一个RMI对象是一个远程JAVA对象,可以从另一个JAVA虚拟机上(甚至跨过网络)调用它的方法,可以像调用本地JAVA对象的方法一样调用远程对象的方法,使分布在不同的JVM中的对象的外表和行为都像本地对象一样。
  对于任何一个以对象为参数的RMI接口,你都可以发一个自己构建的对象,迫使服务器端将这个对象按任何一个存在于class path中的可序列化类来反序列化。
  RMI的传输100%基于反序列化。

所有复现的工具打包好了,看官给点小小银两,即可下载
(tips:某宝花几毛钱就可以秒下载 —嘿嘿绝不吃亏)
//download.csdn.net/download/weixin_37771454/12267674

一、靶机部署:

将rmiserver.jar复制到靶机桌面;
要求靶机为Linux且安装的Java版本为1.6,因为在1.8版本的JRE中该反序列漏洞已被修复***

Java 1.6.0 for Linux 下载链接,我的是64位的(已经装好jdk1.6的跳过):

链接:https://pan.baidu.com/s/1RIEbEFMAVsFc377n-txkpg 提取码:676z

右键打开命令行
vi /etc/hosts 在第二行添加靶机的外网地址(ifconfig查看),wq保存
然后cd到桌面
执行(让该rmi服务运行在靶机的外网端口6600)

java -jar rmiserver.jar 6600 rmi

提示service start!
在这里插入图片描述
说明服务成功启动

二、本机怎样查看是不是可以回显?

先在Windows ping一下靶机IP,看看是否ping通
然后把rmiclient.jar复制到Windows桌面
打开命令行cd到桌面目录
执行

java -jar ./rmiclient.jar 靶机IP 6600 rmi MESSAGE

执行后可以在靶机看到MESSAGE字样了
在这里插入图片描述
复现到这里基本就完成了,接下来就是工具的利用

三、attackRMI利用

Windows右键attackRMI.jar打开
输入靶机IP和端口6600 点击连接
连接成功后
输入ifconfig执行
在这里插入图片描述
成功回显 可以看到了靶机的ifconfig信息

四、想了解原理的可以看看这篇文章

https://blog.csdn.net/LeeHDsniper/article/details/71599504

这篇关于RMI反序列漏洞复现-——手把手光速复现,工具超全的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/413003

相关文章

MySql match against工具详细用法

《MySqlmatchagainst工具详细用法》在MySQL中,MATCH……AGAINST是全文索引(Full-Textindex)的查询语法,它允许你对文本进行高效的全文搜素,支持自然语言搜... 目录一、全文索引的基本概念二、创建全文索引三、自然语言搜索四、布尔搜索五、相关性排序六、全文索引的限制七

基于Java实现回调监听工具类

《基于Java实现回调监听工具类》这篇文章主要为大家详细介绍了如何基于Java实现一个回调监听工具类,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录监听接口类 Listenable实际用法打印结果首先,会用到 函数式接口 Consumer, 通过这个可以解耦回调方法,下面先写一个

使用Python构建一个Hexo博客发布工具

《使用Python构建一个Hexo博客发布工具》虽然Hexo的命令行工具非常强大,但对于日常的博客撰写和发布过程,我总觉得缺少一个直观的图形界面来简化操作,下面我们就来看看如何使用Python构建一个... 目录引言Hexo博客系统简介设计需求技术选择代码实现主框架界面设计核心功能实现1. 发布文章2. 加

JS+HTML实现在线图片水印添加工具

《JS+HTML实现在线图片水印添加工具》在社交媒体和内容创作日益频繁的今天,如何保护原创内容、展示品牌身份成了一个不得不面对的问题,本文将实现一个完全基于HTML+CSS构建的现代化图片水印在线工具... 目录概述功能亮点使用方法技术解析延伸思考运行效果项目源码下载总结概述在社交媒体和内容创作日益频繁的

基于Python打造一个全能文本处理工具

《基于Python打造一个全能文本处理工具》:本文主要介绍一个基于Python+Tkinter开发的全功能本地化文本处理工具,它不仅具备基础的格式转换功能,更集成了中文特色处理等实用功能,有需要的... 目录1. 概述:当文本处理遇上python图形界面2. 功能全景图:六大核心模块解析3.运行效果4. 相

springboot项目中常用的工具类和api详解

《springboot项目中常用的工具类和api详解》在SpringBoot项目中,开发者通常会依赖一些工具类和API来简化开发、提高效率,以下是一些常用的工具类及其典型应用场景,涵盖Spring原生... 目录1. Spring Framework 自带工具类(1) StringUtils(2) Coll

基于Python实现高效PPT转图片工具

《基于Python实现高效PPT转图片工具》在日常工作中,PPT是我们常用的演示工具,但有时候我们需要将PPT的内容提取为图片格式以便于展示或保存,所以本文将用Python实现PPT转PNG工具,希望... 目录1. 概述2. 功能使用2.1 安装依赖2.2 使用步骤2.3 代码实现2.4 GUI界面3.效

基于Python和MoviePy实现照片管理和视频合成工具

《基于Python和MoviePy实现照片管理和视频合成工具》在这篇博客中,我们将详细剖析一个基于Python的图形界面应用程序,该程序使用wxPython构建用户界面,并结合MoviePy、Pill... 目录引言项目概述代码结构分析1. 导入和依赖2. 主类:PhotoManager初始化方法:__in

使用Python自建轻量级的HTTP调试工具

《使用Python自建轻量级的HTTP调试工具》这篇文章主要为大家详细介绍了如何使用Python自建一个轻量级的HTTP调试工具,文中的示例代码讲解详细,感兴趣的小伙伴可以参考一下... 目录一、为什么需要自建工具二、核心功能设计三、技术选型四、分步实现五、进阶优化技巧六、使用示例七、性能对比八、扩展方向建

Python基于wxPython和FFmpeg开发一个视频标签工具

《Python基于wxPython和FFmpeg开发一个视频标签工具》在当今数字媒体时代,视频内容的管理和标记变得越来越重要,无论是研究人员需要对实验视频进行时间点标记,还是个人用户希望对家庭视频进行... 目录引言1. 应用概述2. 技术栈分析2.1 核心库和模块2.2 wxpython作为GUI选择的优