java反序列化漏洞实战

准备:

  1. 域名一个,用于增加NS解析,判断是否存在反序列化漏洞。
  2. 公网IP服务器一台,用于搭建DNS代理,抓包判断。
  3. dnschef,DNS代理
  4. ysoserial.jar生成payload.
  5. 简单的python脚本,调用ysoserial.jar并发送payload

  首先域名增加一条A记录解析到公网IP服务,然后增加一条NS记录指向这条A记录。

  然后公网IP服务器 开防火墙端口53,记得是UDP协议。然后运行dnschef,记得安装dnslib,否则无法正常运行。然后运行记得带参数,不要用默认参数。否则只会监听127.0.0.1。

例:

dnschef.py --interface 0.0.0.0 –q

  调用ysoserial中的URLDNS,如果存在反序列化漏洞,服务器应该会有解析域名的日志。接下来就是测试存在哪个反序列化漏洞了。

  测试漏洞需要先在服务器上开启tcpdump icmp 抓ping包,再然后使用python脚本调用ysoserial发送ping 服务器IP的命令,ping 1次就可以了,所以记得指定n或者c。然后如果看到服务器有抓到ping的包,证明此漏洞可以利用。

posted @ 2019-04-01 18:45  toMo  阅读(630)  评论(0编辑  收藏