jboss的一些记录

原创 于 2025-03-05 23:22:42 发布 · 1k 阅读 · 20 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#eureka #云原生

部署运行你感兴趣的模型镜像

一、jboss安装

二、错误记录

1.library initialization failed - unable to allocate file descriptor table - out of memoryAborted (core dumped)

图 1 启动后没有端口 图

图 2 查看容器id,查看日志 图

docker ps -a
docker logs 79c6c5f6d589

错误语句记录：

library initialization failed - unable to allocate file descriptor table - out of memoryAborted (core dumped)

错误分析：

内存不足，导致中止。这应该是docker 内存分配大小的问题。

相关原理

  • 文件描述符表：每个进程在启动时，操作系统会为其分配一个文件描述符表（File Descriptor Table），用于管理打开的文件、网络套接字等资源。该表的大小受系统级（全局）和用户级（进程）限制。
  • 内存分配依赖：文件描述符表本身需要内存空间存储条目。当进程尝试打开大量文件或网络连接时，文件描述符表需要动态扩展，若此时系统内存不足（或进程的虚拟内存限制被触发），会导致分配失败
     

解决方案：

方法一：通过Docker Compose文件配置（持久化生效）

适用场景：容器编排场景（如长期运行服务），需固化配置。

操作步骤：
编辑docker-compose.yml，添加ulimits字段进行限制：

    ulimits:
      nofile:
        soft: 65535
        hard: 65535

 图 3 启动成功，方法可行 图

方法二：修改Docker守护进程默认配置（全局生效）

适用场景：所有新启动的容器均需继承此默认配置。
操作步骤：

systemctl status docker #查看配置文件路径

vim  /usr/lib/systemd/system/docker.service #打开配置文件

--default-ulimit nofile=65535:65535 #在启动docker时添加限制

systemctl daemon-reload #重新加载配置
systemctl restart docker #重新启动docker

已验证，方法可行

以上都是针对docker环境，在我们主机如果运行一些java程序也会出现类似报错情况需要添加限制

cat /etc/security/limits.conf | grep nofile #检查设定
# 修改宿主机全局配置
echo "* soft nofile 65535" >> /etc/security/limits.conf
echo "* hard nofile 65535" >> /etc/security/limits.conf

# 重启宿主机或重新登录生效

解释：
hard limit ，不能超过这个设定值
soft limit ，警告值

2.需要java 8环境

ysoserial-all.jar运行报错

Error while generating or serializing payload
java.lang.reflect.InaccessibleObjectException: Unable to make field private java.lang.String javax.management.BadAttributeValueExpException.val accessible: module java.management does not "opens javax.management" to unnamed module @5a07e868
        at java.base/java.lang.reflect.AccessibleObject.throwInaccessibleObjectException(AccessibleObject.java:388)
        at java.base/java.lang.reflect.AccessibleObject.checkCanSetAccessible(AccessibleObject.java:364)
        at java.base/java.lang.reflect.AccessibleObject.checkCanSetAccessible(AccessibleObject.java:312)
        at java.base/java.lang.reflect.Field.checkCanSetAccessible(Field.java:183)
        at java.base/java.lang.reflect.Field.setAccessible(Field.java:177)
        at ysoserial.payloads.util.Reflections.setAccessible(Reflections.java:26)
        at ysoserial.payloads.CommonsCollections5.getObject(CommonsCollections5.java:83)
        at ysoserial.payloads.CommonsCollections5.getObject(CommonsCollections5.java:51)
        at ysoserial.GeneratePayload.main(GeneratePayload.java:34)

错误分析：

错误是由于Java 9及以上版本的模块系统（JPMS）对反射访问权限的严格限制导致的

解决方案：

个人感觉直接更换为java 8环境最好

java 8安装

#推荐从华为云镜像站下载特定版本的JDK 8（如jdk-8u202-linux-x64.tar.gz）
wget https://repo.huaweicloud.com/java/jdk/8u202-b08/jdk-8u202-linux-x64.tar.gz


#解压并移动至目标目录
sudo mkdir -p /usr/local/java
sudo mv jdk-8u202-linux-x64.tar.gz /usr/local/java
cd /usr/local/java
sudo tar -zxvf jdk-8u202-linux-x64.tar.gz

#编辑全局配置文件/etc/profile（和windows的环境变量一样)
sudo vim /etc/profile
#在文件末尾添加以下内容：
JAVA_HOME=/usr/local/java/jdk1.8.0_202
PATH=$PATH:$JAVA_HOME/bin
export JAVA_HOME
export PATH

source /etc/profile # 使配置生效

 使用使用update-alternatives管理java版本

注意根据自己的路径配置

sudo update-alternatives --install "/usr/bin/java" "java" "$JAVA_HOME/bin/java" 1
sudo update-alternatives --install "/usr/bin/javac" "javac" "$JAVA_HOME/bin/javac" 1
sudo update-alternatives --install "/usr/bin/javaws" "javaws" "$JAVA_HOME/bin/javaws" 1


切换至Java 8
sudo update-alternatives --config java

3.缺少步骤

文件上传，添加url列表后，还需点击应用操作

三、jboss漏洞总结 

1. CVE-2017-12149 反序列化代码执行漏洞

  • 影响版本：JBoss 5.x / 6.x
  • 访问路径：/invoker/readonly
  • 漏洞原理：攻击者通过此路径上传恶意序列化数据，利用ReadOnlyAccessFilter未进行安全检查的特性触发远程代码执行。
  • 修复建议：
    • 升级至JBoss 7.x版本
    • 删除http-invoker.sar组件
    • 在web.xml中添加访问控制策略，限制/invoker/readonly路径的访问

2. CVE-2015-7501 JMXInvokerServlet 反序列化漏洞

  • 影响版本：
    • Red Hat JBoss Enterprise Application Platform 4.3.x/5.x/6.x
    • 其他相关产品如JBoss A-MQ、BPM Suite等
  • 访问路径：/invoker/JMXInvokerServlet
  • 漏洞原理：攻击者通过此接口上传恶意序列化数据，利用Apache Commons Collections的Gadget执行代码。
  • 修复建议：
    • 删除http-invoker.sar组件
    • 添加安全约束至web.xml，限制接口访问

3. JBoss EJBInvokerServlet 反序列化漏洞

  • 影响版本：JBoss 6.x（依赖Apache Commons Collections 3.x/4.x）
  • 访问路径：/invoker/EJBInvokerServlet
  • 漏洞原理：通过此路径上传恶意序列化数据，触发远程代码执行。
  • 修复建议：
    • 移除或禁用EJBInvokerServlet服务
    • 升级Apache Commons Collections库至安全版本

4. CVE-2017-7504 JBossMQ JMS 反序列化漏洞

  • 影响版本：JBoss AS 4.x及更早版本
  • 访问路径：/jmx-console（通过JBossMQ服务）
  • 漏洞原理：攻击者通过JMS服务发送恶意序列化数据，触发远程代码执行。
  • 修复建议：
    • 升级至JBoss 5.x及以上版本
    • 移除jbossmq-httpil.sar组件

5. JBoss 未授权访问漏洞

  • 影响版本：所有低版本JBoss（默认配置）
  • 访问路径：
    • /jmx-console（JMX控制台）
    • /web-console（Web管理控制台）
  • 漏洞表现：无需认证即可访问管理控制台，部署恶意War包或执行命令。
  • 修复建议：
    • 为控制台配置强认证（如账号密码）
    • 关闭jmx-console和web-console服务

6. JBoss Administration Console 弱口令漏洞

  • 影响版本：所有未修改默认配置的版本
  • 访问路径：/admin-console（管理控制台登录页面）
  • 漏洞利用：默认弱口令（admin/admin）可能导致后台被控制。
  • 修复建议：
    • 修改默认账号密码，启用复杂口令策略
    • 限制管理后台的IP访问范围

四、具体修复操作
五、jboss相关题目

单选题
1. JBoss禁止目录浏览是通过：[ ]
A. 修改代码listings为false
B. 修改代码turn为false
C. 修改代码listings为no
D. 修改代码turn为no
答案：A

2. JBoss为什么易受攻击？
A. 具有强大的安全防护机制
B. 用户基数小
C. 默认配置非常安全
D. 广泛使用和知名度、复杂系统架构
答案：D

3. JBoss默认端口是多少？
A. 80
B. 8080
C. 7001
D. 8888
答案：B

4. JBoss有一个默认的数据源DefaultDS，它使用JBoss内置的 [ ] 数据库。
A. MSSQL
B. HSQLDB
C. MySQL
D. SQLDB
答案：B

5. JBoss是一个管理EJB的容器和服务器，下列不属于JBOSS支持的规范是：
A. EJB 1.1
B. EJB 2.0
C. EJB 3
D. JEB4
答案：D

6. JBoss漏洞利用的本质是什么？
A. SQL注入
B. 越权访问
C. 跨站脚本
D. 上传Webshell
答案：D

7. JBoss不存在哪些漏洞？
A. 未授权访问
B. 任意文件包含
C. 反序列化漏洞
D. 弱口令漏洞
答案：B

8. JBoss中间件可能存在什么漏洞？
A. JAVA反序列化
B. struts2命令执行
C. SQL注入
D. DDOS攻击
答案：A

9. 下列不属于JBoss安全要求的是：
A. JBoss4.2必须需要安装jdk5
B. 不得使用JBoss的默认配置、端口、管理员账户和密码，必须更改。
C. 必须使用JBoss 7以上版本。
D. 对于JBoss管理的用户，必须实施强密码策略，包括长度、复杂度等要求。
答案：A

10. JBoss CVE-2017-12149 漏洞是由于（ ）原因引起的：
A. JBoss服务器的网络通信加密算法不够安全
B. JBoss将来自客户端的未经安全检查的序列化数据流进行反序列化
C. JBoss服务器的默认安装包中包含了恶意代码
D. JBoss服务器的默认配置中开启了不安全的远程服务
答案：B

11. JBoss中jmx-console的密码配置文件为（ ）。
A. Jmx-console-users.properties
B. Jmx-console-users.xml
C. Jmx-console-users.conf
D. Jmx-console-users.dat
答案：A

多选题
1. JBoss易受攻击的原因可能包括：
A. 用户基数大
B. 复杂的系统架构
C. 已知的安全漏洞
D. 所有选项都是
答案：D

2. 关于JBoss常见漏洞，正确的是：
A. CVE-2017-12149
B. JBoss未授权访问
C. JMXInvokerServlet反序列化
D. JBoss溢出漏洞
答案：ABCD

3. JBoss反序列化漏洞（CVE-2017-12149）影响的版本有：
A. AS 5.x
B. AS 6.x
C. AS 7.x
D. AS 8.x
答案：AB

4. JBoss的管理域模式中有哪几种主要的角色：
A. Host
B. HostController
C. DomainController
D. ServerController
答案：ABC

5. 某个攻击者执行下列命令，执行命令后获取的Webshell地址可能是（ ）。命令为：
java -jar jboss_exploit_fat.jar -i http://192.168.1.2/invoker  
DiffCopyInsert
A. http://192.168.1.3/demo/java.jsp
B. http://192.168.1.3/java/java.jsp
C. http://192.168.1.3/java/test.jsp
D. http://192.168.1.3/demo/test.jsp
答案：BC

6. JBoss的两个管理控制台为：
A. jmx-console
B. admin-console
C. console
D. web-console
答案：AD

7. 以下关于常见JBoss控制目录正确的是：
A. http://www.example.com/jmx-console/
B. http://www.example.com/web-console/
C. http://www.example.com/admin
D. http://www.example.com/manager
答案：AB

8.以下属于 JBOSS 漏洞的是？
A. CVE-2017-12149
B. jboss 未授权访问
C. JMXInvokerServlet 反序列化漏洞
D. Ssrf

答案：A、B、C


9.JBoss漏洞修复需删除的文件有：

A. ./common/deploy/admin-console.war
B. ./common/deploy/jmx-console.war
C. ./server/default/deploy/http-invoker.war
D. ./server/default/deploy/management/console-mgr.sar/web-console.war
答案：ABCD

您可能感兴趣的与本文相关的镜像

GPT-oss:20b

GPT-oss:20b

图文对话
Gpt-oss

GPT OSS 是OpenAI 推出的重量级开放模型，面向强推理、智能体任务以及多样化开发场景

DCkansf
关注
JBoss 管理控制台的基础知识与后端
UgmbRuby的博客
09-20 840
JBoss 管理控制台是一个用于管理和监控 JBoss 应用服务器的图形化界面，它提供了一系列的管理工具和配置选项，使管理员能够轻松地管理应用服务器的各个方面。这些只是 JBoss 管理控制台的一小部分功能，它还提供了许多其他强大的管理和监控工具，以满足不同的需求。通过深入学习和探索 JBoss 管理控制台的功能，您可以更好地理解和利用这个强大的工具来管理和监控您的 JBoss 应用服务器。本文将介绍 JBoss 管理控制台的基础知识，并展示一些后端代码示例，帮助读者更好地理解和使用该控制台。
【中间件】JBoss是什么？JBoss与Tomcat的区别
DreamSun的博客
04-07 7596
在Native组件的支持下，动态运行不会受到任何影响，而静态资源的访问利用了操作系统本身提供的0拷贝传送，CPU消耗降低，响应时间缩短，吞吐率大大提高，混合的连接模式支持最大达到10000个并发客户端的同时访问，与Apache Web服务器相当。JBoss Web服务器具有原生特性和强大的可扩展性，可支持多种并非基于Java的服务器内容处理技术，可同时运行JSP, Servlet, Microsoft .NET , PHP 及 CGI，为其提供一个单一的、高性能的企业级部署平台。
服务攻防——中间件Jboss
qq_55202378的博客
07-09 2495
JBoss是一个基于J2EE的开发源代码的应用服务器，一般与Tomcat或Jetty绑定使用。默认端口：8080、9990。
JBoss安装并部署war包
飞奔的屎壳郎
09-28 9086
进入jboss下standalone/configuration下打开standalone.xml文件，找到如下两个ip修改为0.0.0.0。1、在jboss的\standalone\configuration目录下有个standalone.xml文件，里边配置相关的端口等；2. 本文章以jboss-eap-7.2版本为例，jboos版本在Window与Linux下通用。jboos 7版本的目录结构，每个大版本目录结构会有所差异。解压Jboss以后在Jboss的bin目录下找到。
深入浅出带你学习JBoss中间件常见漏洞
qq_44005305的博客
01-02 2417
本文给大家带来的是JBOSS中间件漏洞的总结，详细讲解一下JBOSS中间件的常见漏洞以及利用方法，本文就着JBOSS中间件的特性来分析该中间件的常见漏洞利用方式，下面我们展开文章来讲。简单来说可以介绍为一个开源的符合J2EE规范的应用服务器，作为J2EE规范的补充，Jboss中引入了AOP框架，为普通Java类提供了J2EE服务，而无需遵循EJB规范。该中间件的特点如下：它将具有革命性的JMX微内核服务作为其总线结构；
jboss JAR包
07-21
具体到使用HIBERNATE时，以下是一些关于JBoss Logging的知识点： 1. **配置日志**：开发者可以通过修改log4j.properties或logback.xml等配置文件来定制日志级别和输出格式，控制HIBERNATE的日志输出。 2. **日志...
JBoss OSGi日志记录功能实现与JBoss Logging集成
JBoss OSGi的日志记录功能是一个重要的组件，它支持日志记录服务（OSGi Log Service），这是一项标准服务，旨在统一不同bundle的日志记录需求。JBoss OSGi通过这个服务，可以将日志信息转发到JBoss Logging框架，后...
JBoss5.pdf
07-29
4. 文档中还提到了JBoss EAP 5的一些关键架构概念，例如EJB容器环境，其中分为容器管理的EntityManager（CME）和应用管理的EntityManager（AME），持久化上下文的作用域，以及持久化上下文的传播。 5. 在Java SE...
jboss as 7
06-11
CLI 使用 JLine 库处理用户输入，提供自动补全和历史记录等功能，与常见的命令行环境相似。它通过 JBoss Remoting 与服务器控制器通信，数据交换采用自定义协议。在 standalone 模式下，控制器是单个的 host ...
JBoss的安装和配置
Abaonanermy的博客
07-03 2609
进入官网下载页面，可选择linux版本jboss下载。
解决Error while generating or serializing payload java.lang.reflect.InaccessibleObjetExceotion:Unable
精品博客,你值得一看~
08-22 1800
Error while generating or serializing payload java.lang.reflect.InaccessibleObjetExceotion:Unable to make field private transient java.util.HashMap java.util.HashSet.map accessible:module java.base does not "opens java.util"ysoserial-main-923a2bda4e-1.jar
JBoss服务器环境部署
最新发布
没有网络安全就没有国家安全
08-27 2088
本篇文章主要讲解如何部署JBoss服务器环境
WEB服务器：Apache、Tomcat、JBoss、WebLogic的区别与关系
xiangbq的博客
12-22 994
Weblogic、Tomcat、Apache、JBoss 都基于java的基础架构； Weblogic是一个企业级的应用服务器，其中包括j2ee中的各类应用如jsp,servlet,ejb等Tomcat是一个初级的应用服务器，支持sp和servlet，不支持EJB，如需EJB功能须用jbossJBoss含有Jsp和Servlet容器,也就可以做web容器,也包含EJB容器,是完整的J2EE应
JBoss中间件漏洞汇总
混子
11-18 1万+
目录 一、JBoss是什么？ 二、安装环境 1. Jdk 2. 下载JBoos4、6，并进行配置 三、 反序列漏洞 1. HttpInvoker 组件（CVE-2017-12149） 2. JMXInvokerServlet组件（CVE-2015-7501） 3. JBossMQ（CVE-2017-7504） 4.EJBInvokerServlet组件（CVE-2013-4810） 四、 War后门文件部署 1. admin-cosole（爆红接着传） 2. JMX-console.
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 4226
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
Jboss漏洞
weixin_43873557的博客
02-05 483
➢ Jboss概述 一个基于J2EE的开放源代码的应用服务器。JBoss是一个管理EJB的容器和服务器， 但JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使 用。Jboss是Java EE应用服务器（就像Apache是web服务器一样），专门用来运行 Java EE程序的。 ➢ Jboss历史漏洞（访问控制不严导致的漏洞） JMX Console未授权访问Getshell JMX Console HtmlAdaptor Getshell（CVE-2007-
几种常见web 容器比较 （tomcat、 jboss 、resin、 weblogic、 websphere、 glassfish）
热门推荐
顺其自然~专栏
02-18 1万+
1. Tomcat是Apache鼎力支持的Java Web应用服务器，由于它优秀的稳定性以及丰富的文档资料，广泛的使用人群，从而在开源领域受到最广泛的青睐。- 2. Jboss作为Java EE应用服务器，它不但是Servlet容器，而且是EJB容器，从而受到企业级开发人员的欢迎，从而弥补了Tomcat只是一个Servlet容器的缺憾。- 3. Resin也仅仅是一个Servlet容器，然而由于它...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值