cuijiung/dubbo-cve-2023-23638استغلال PoC لـ Apache Dubbo CVE-2023-23638، وهي ثغرة في إلغاء تسلسل Hessian تتيح حقن JNDI. يتضمن مقالات تحليل ويتطلب ZooKeeper و Java 8 للاختبار.
للاستخدام التعليمي فقط
ZooKeeper يجب توفيره بنفسك
بيئة الاختبار هي Java 8، الإصدارات الأخرى لم تُختبر بعد، ولا يُضمن عملها
عند إعادة الإنتاج، يجب إضافة معامل VM إلى DemoComsumer: -Ddubbo.hessian.allowNonSerializable=true، للمزيد راجع https://su18.org/post/hessian/#serializable
المقال التحليلي: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/
جوهر POC هو استخدام كلاس معين لتعديل الخصائص (properties) لتجاوز القيود، الكود المقدم هو لحقن JNDI، يمكنك الرجوع إلى CVE-2023-23638 Apache Dubbo JavaNative تحليل ثغرة إلغاء التسلسل لتعديله بنفسك لاستخدام طريقة إلغاء التسلسل.
