Hessian 反序列化RCE漏洞复现

9月前作者：OidBoy_G 分类：Toy博客阅读(37) 违法举报

这篇具有很好参考价值的文章主要介绍了Hessian 反序列化RCE漏洞复现。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

1、产品简介

Hessian是二进制的web service协议，官方对Java、Flash/Flex、Python、C++、.NET C#等多种语言都进行了实现。Hessian和Axis、XFire都能实现web service方式的远程方法调用，区别是Hessian是二进制协议，Axis、XFire则是SOAP协议，所以从性能上说Hessian远优于后两者，并且Hessian的JAVA使用方法非常简单。它使用Java语言接口定义了远程对象，集合了序列化/反序列化和RMI功能。

2、漏洞概述

Hessian是一个轻量级的RPC框架。它基于HTTP协议传输，使用Hessian二进制序列化，对于数据包比较大的情况比较友好，Hessian反序列化类似Java反序列化，hessian-4.0.60.jar及之前版本中存在反序列化漏洞，成功利用此漏洞可在目标系统上执行恶意代码。攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。

3、影响范围

版本 =< hessian-4.0.60.jar

4、环境搭建

这里我们使用vulfocus靶场进行复现

hessian反序列化漏洞,漏洞复现,web安全,网络安全

5、利用流程

1、打开靶场环境，启动JNDI利用工具：JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar是某大佬写得JNDI注入利用工具

工具地址：文章来源地址https://www.toymoban.com/news/detail-672180.html

到了这里，关于Hessian 反序列化RCE漏洞复现的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：

领支付宝红包赞助服务器费用

Fastjson反序列化漏洞(1.2.24 RCE)

目录（一）Fastjson介绍 1、认识Fastjson 1.1 序列化 1.2 反序列化 1.3 @type 自省 Autotype （二）漏洞原理 1、比较常用的攻击类 1.1 com.sun.rowset.JdbcRowSetImpl 1.2 com.sun.org.apache.xalan.internal.xsltc.trax. TemplatesImp （三）1.2.24 RCE复现 1、vulnhub启动注意：Linux配置JRE版本 2、攻击机监听（

2024年02月07日
浏览(48)
Kafka反序列化RCE漏洞（CVE-2023-34040）

Spring Kafka 是 Spring Framework 生态系统中的一个模块，用于简化在 Spring 应用程序中集成 Apache Kafka 的过程，记录 (record) 指 Kafka 消息中的一条记录。受影响版本中默认未对记录配置 ErrorHandlingDeserializer ，当用户将容器属性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 设置为

2024年02月06日
浏览(37)
网络安全-JDBC反序列化漏洞与RCE

ubuntu 20：ip 10.28.144.100，安装docker、python3、docker-compose（可选）、Java（可选） windows11：ip 10.28.144.10，安装了Java、wireshark、Navicat（可选）、IDEA（可选） Java中这些magic方法在反序列化的时候会自动调用： readObject() readExternal() readResolve() readObjectNoData() validateObject() finalize() Java

2024年02月10日
浏览(39)
反序列化漏洞及漏洞复现

问题：为什么要序列化？序列化，“将对象的状态信息转换为可以存储或传输的形式的过程”，这种形式大多为字节流、字符串、Json 串。在序列化期间内，将对象当前状态写⼊到临时或永久性的存储区。以后，就可以通过从存储区中读取或还原（反序列化）对象的状态，重

2024年02月09日
浏览(45)
漏洞复现——shiro反序列化

今天咱们的主角是shiro反序列化命令执行漏洞。该漏洞在HVV等大型攻防项目中，经常被作为突破口。简单介绍了解一下还是很有必要的。废话不多说，进入正题。一、漏洞描述： Apache Shiro是美国阿帕奇（Apache）软件基金会的一套用于执行认证、授权、加密和会话管理的Java安

2024年02月09日
浏览(41)
typecho 反序列化漏洞复现

下载typecho14.10.10 安装，这里需要安装数据库 POC.php POST数据包如下，访问install.php并携带参数finish，Referer来自本网站，POST传递恶意参数步骤和前面一样，把payload放__typecho_config=就行

2024年02月09日
浏览(51)
Fastjson反序列化漏洞复现小结

简单来说：Fastjson是解析JSON格式的字符串的，允许用户在输入JSON串时通过“@type”键对应的value指定任意反序列化类名，进而执行类里的恶意代码。 1、Fastjson1.2.24远程代码执行（CNVD-2017-02833 ） 2、Fastjson=1.2.47远程代码执行漏洞（CNVD-2019-22238） 3、Fstjson =1.2.60 远程代码执行漏洞

2023年04月08日
浏览(47)
ActiveMQ反序列化漏洞原理+复现

ActiveMQ反序列化漏洞 ActiveMQ ActiveMQ是开源消息总线，消息中间件工作原理通过使用消息队列，实现服务的异步处理，主要目的是减少请求响应时间和解耦合。消息队列，服务器A将客户发起的请求放入服务器B的消息队列中，服务器B从消息队列中取出并处理。从以上内容中可

2024年02月05日
浏览(59)
Fastjson反序列化漏洞原理与复现

Fastjson是java的一个库，可以将Java对象转化为json格式的字符串，也可以将json格式的字符串转化为Java对象。 Fastjson提供了 toJSONString() 和 parseObject() 方法来将Java对象与JSON相互转换。调用 toJSONString() 方法即可将对象转换成 JSON 字符串， parseObject() 方法则反过来将JSON字符串转换成

2024年02月12日
浏览(61)
shiro反序列化漏洞学习（工具+原理+复现）

工具准备 1.java8 C:Program FilesJava 2.冰蝎 C:UsersaliDesktoptoolsBehinder_v4.0.6 3.shiro反序列化图形化工具 shiro attack2.2 C:UsersaliDesktoptoolsshiro_attack_2.2 4.shiro反序列化命令行工具 C:UsersaliDesktoptoolsshiro_tool.jar 一.Shiro-550 CVE-2016-4437 序列化：在Java中，把Java对象转换为字节序列（

2023年04月08日
浏览(48)