CVE-2018-14667-Lab

प्रयोगशाला पूर्वापेक्षाएँ

डेमो ऐप यहाँ से: http://downloads.jboss.org/richfaces/releases/3.3.X/3.3.4.Final/richfaces-examples-3.3.4.Final.zip

Jboss 5.1.0.GA JBOSS डाउनलोड संग्रह से: https://repository.jboss.org/sourceforge/

Jdk-6u45-linux-x64 JAVA संग्रह से: https://www.oracle.com/java/technologies/javase-java-archive-javase6-downloads.html

शोषण POC

1 - Maven स्थापित करें और निष्पादित करने के लिए कमांड के साथ Main.java संशोधित करें

2 - Runer.bash चलाएँ

3- पेलोड भेजने से पहले, photoalbum प्रयोगशाला के इंडेक्स पृष्ठ पर जाएँ

4 - कमांड सफलतापूर्वक निष्पादित हो जाता है

नोट

शोषण यहाँ से लिया गया था और JBOSS App Server सीरियलाइज़ेशन के अनुकूल बनाने के लिए संशोधित किया गया था: https://pastebin.com/raw/YRKdatWv