CVE-2016-2173 — 概念验证漏洞利用 CVE-2016-2173，演示了在 Spring AMQP 中通过不安全反序列化实现远程代码执行，使用了 Commons Collection gadget 链。 | Kitploit

CVE-2016-2173 - Spring AMQP 中的远程代码执行 - 应用测试

描述

类 org.springframework.core.serializer.DefaultDeserializer 不会根据白名单验证反序列化的对象。通过提供精心编制的序列化对象（如 Chris Frohoff 的 Commons Collection gadget），可以实现远程代码执行。

受影响版本

1.0.0 至 1.5.4

供应商

Pivotal 的 Spring

安装

- Maven 3.x+
- Java 1.7+
- [RabbitMQ](https://www.rabbitmq.com/download.htm)

运行应用漏洞

- mvn eclipse:eclipse
- import project
- run project (App)