JBoss असुरक्षित डिसीरियलाइज़ेशन से CVE-2017-12149 के माध्यम से RCE।

JBoss असुरक्षित डिसीरियलाइज़ेशन - RCE शोषण प्रयोगशाला।

यहाँ विचार एक पुराने JBoss संस्करण (<7.0) के साथ एक प्रयोगशाला स्थापित करने का है ताकि इस कमजोरी का शोषण किया जा सके।

हम पूरी प्रक्रिया को सुविधाजनक बनाने के लिए Docker का उपयोग कर सकते हैं। इसके लिए, हमें Oracle JDK rpm पैकेज की आवश्यकता होगी, क्योंकि JBoss 6.0.0 final JDK 6 रनटाइम के साथ काम करता है। हमें रिपॉजिटरी में मौजूद Dockerfile की भी आवश्यकता होगी, और स्पष्ट रूप से सिस्टम पर Docker स्थापित होना चाहिए। बस सुनिश्चित करें कि सभी फाइलें एक ही निर्देशिका में हों।

1. इस रिपॉजिटरी को git clone https://github.com/Xcatolin/jboss-deserialization से क्लोन करें
2. jdk-6u45-linux-x64-rpm.bin पैकेज डाउनलोड करें और इसे Dockerfile के समान निर्देशिका में ले जाएँ (आप पंजीकरण के लिए एक अस्थायी ईमेल पता उपयोग कर सकते हैं)
3. इमेज को इस कमांड के साथ बनाएँ: docker build -t ovanekem/docker-jboss-6.0.0.final .
4. इमेज को इस कमांड के साथ चलाएँ: docker run -it -p 8080:8080 ovanekem/docker-jboss-6.0.0.final
5. यह सत्यापित करने के लिए यहाँ क्लिक करें कि यह काम कर गया, आपको JBoss मुख्य पृष्ठ देखना चाहिए

संदर्भ और सभी श्रेय

• ovanekem/docker-jboss-6.0.0.final