Un outil de scan de vulnérabilités Dubbo plus complet se trouve dans mon autre projet : https://github.com/YYHYlh/Dubbo-Scan

Apache-Dubbo-CVE-2023-23638-exp

Pratique d'ingénierie de l'exploitation de la vulnérabilité Apache Dubbo (CVE-2023-23638), couvrant le processus de la découverte de services à l'exploitation et au retour d'affichage pour Dubbo 3.x. Cet outil est uniquement destiné à la recherche et à l'apprentissage. Bienvenue aux experts pour discuter et proposer des suggestions précieuses.

Description de l'outil

Cet outil prend en charge l'exploitation complète de CVE-2023-23638 sur Dubbo 3.x, couvrant la découverte de services jusqu'à l'exploitation et le retour d'affichage. Il peut également être utilisé sur Dubbo 2.x, mais il est nécessaire de fournir manuellement le nom du service, le nom de la méthode, etc. J'ai écrit deux articles d'analyse sur cette vulnérabilité :

1. Exploitation de la vulnérabilité
2. Retour d'affichage de la vulnérabilité

Cet outil est uniquement destiné à l'apprentissage et n'a pas pris en compte de nombreux problèmes pratiques, tels que :

1. Exploitation avec des noms de service et de méthode personnalisés
2. Problème de version de compilation du bytecode Java

Les mises à jour se poursuivront

Ce projet ne sera plus mis à jour. Un scan et une exploitation plus complets de Dubbo seront open-sourcés dans un autre projet ultérieurement, restez à l'écoute !

Merci au maître y4tacker d'avoir partagé l'idée de la désérialisation native de fastjson.

Ligne de commande

Exploitation d'une seule URL

java -jar CVE-2023-23638.jar TARGET_IP TARGET_PORT COMMAND CHARSET(default UTF-8)
e.g.:
  java -jar CVE-2023-23638.jar 127.0.0.1 20880 whoami

Détection sans impact d'une seule URL

java -jar CVE-2023-23638.jar -s TARGET_IP TARGET_PORT
e.g.:
  java -jar CVE-2023-23638.jar -s 127.0.0.1 20880

Détection par lot

1.txt:
127.0.0.1:20880
192.168.1.1:20880


java -jar CVE-2023-23638.jar -f FILE_PATH
e.g.:
  java -jar CVE-2023-23638.jar -f 1.txt

GUI

1. Injection de bytecode

2. Exécution de commande

Avertissement

Cet outil est uniquement destiné à la recherche et à l'apprentissage des vulnérabilités. Si vous souhaitez tester sa disponibilité, veuillez mettre en place votre propre environnement cible. Lorsque vous utilisez cet outil pour des tests, vous devez vous assurer que cette action est conforme aux lois et réglementations locales et que vous avez obtenu les autorisations nécessaires. N'effectuez pas de scans sur des cibles non autorisées. Si vous commettez des actes illégaux en utilisant cet outil, vous assumez vous-même les conséquences. Nous n'assumons aucune responsabilité légale ou solidaire.

Références

1. https://y4tacker.github.io/2023/03/20/year/2023/3/FastJson%E4%B8%8E%E5%8E%9F%E7%94%9F%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96/
2. https://y4tacker.github.io/2023/04/26/year/2023/4/FastJson%E4%B8%8E%E5%8E%9F%E7%94%9F%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96-%E4%BA%8C/