一、Jboos简介
是一个基于J2EE的开放源代码的应用服务器。JBoss是一个管理EJB的容器和服务器，支持EJB 1.1、EJB 2.0和EJB3的规范。但JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使用。
二、jboos环境搭建
1.安装jdk并配置环境变量
2.运行C:\jboss\bin\run.bat，浏览器输入http://localhost:8080/(此时外网还无法登录)
3.默认不能远程访问,需要修改配置文件，配置文件位置jboss-6.1.0.Final\server\defaultdeploy\jbossweb.sar\server.xml,然后重启jboss
4.完成环境变量配置后,在C:jbossjboss-6.1.0.Finalbin下打开cmd,输入call run.bat,即可用成功访问jboos
5.直接访问IP：8080即可访问Jboos主页
三、漏洞复现
1.Administration Console 弱⼝令 Getshell
直接访问Administrator Console使用弱口令登录，入admin/admin;admin/password;admin/123;admin/root;jboot/admin等登录进去
1.JBoss JMXInvokerServlet 反序列化漏洞(CVE-2015-7501)
这是经典的 JBoss 反序列化漏洞，
JBoss在 /invoker/JMXInvokerServlet 请求中读取了用户传入的对象，然后我们可以利用 Apache Commons Collections 中的 Gadget 执行任意代码。
由于JBoss中invoker/JMXInvokerServlet路径对外开放，JBoss的jmx组件⽀持Java反序列化
访问IP：8080/invoker/JMXInvokerServlet,如果有弹窗提示保存文件，则很有可能存在此漏洞
参考链接:https://my.oschina.net/u/4196756/blog/4464607
