JBoss不安全的反序列化导致RCE：CVE-2017-12149

JBoss不安全反序列化 - RCE利用实验室。

这里的想法是搭建一个包含旧版本JBoss（<7.0）的实验室，以便利用该漏洞。

我们可以使用Docker来简化整个过程。为此，我们需要一个Oracle JDK rpm包，因为JBoss 6.0.0最终版需要JDK 6运行时。我们还需要仓库中的Dockerfile，并且系统上显然必须安装Docker。确保所有文件都在同一目录下。

1. 使用git clone https://github.com/Xcatolin/jboss-deserialization克隆此仓库
2. 下载jdk-6u45-linux-x64-rpm.bin包并将其移动到与Dockerfile相同的目录（你可以使用临时电子邮件地址注册）
3. 使用docker build -t ovanekem/docker-jboss-6.0.0.final .构建镜像
4. 使用docker run -it -p 8080:8080 ovanekem/docker-jboss-6.0.0.final运行镜像
5. 点击此处验证是否成功，你应该会看到JBoss主页

参考及全部致谢

• ovanekem/docker-jboss-6.0.0.final