在 xxl-job 中,Hessian 可能被用于远程调用(如 RPC)中传输对象数据。反序列化是将二进制数据转换回 Java 对象的过程,如果反序列化的数据来自不受信任的源,就可能导致安全漏洞,如远程代码执行(RCE)。 3. 研究未授权访问如何导致hessian反序列化漏洞 当xxl-job 的 API 接口存在未授权访问问题时,恶意用户可以通过...
executor默认没有配置认证,未授权的攻击者可以通过RESTful API接口执行任意命令。 此漏洞为XXL-JOB配置不当情况下反序列化RCE。 执行器配置文件中说到端口号在默认情况下是9999 复现 本地搭建靶场,使用靶场为vulhub,使用docker运行环境 启动环境后,http://ip:8080为管理端,http://ip:9999为客户端 访问http://ip:...
xxl-job-admin 低版本未授权反序列化漏洞 利用条件:version <=1.9.2 Copy POST /xxl-job-admin/api HTTP/1.1Host: 127.0.0.1:8080User-Agent: Mozilla/5.0 (Android 9.0; Mobile; rv:66.0) Gecko/66.0 Firefox/66.0Accept: application/xml, text/javascript, */*; q=0.01Accept-Language: zh-CN,zh;q=0...
1.先部署调度中心xxl-job-admin 调度中心访问地址:http://localhost:8080/xxl-job-admin(该地址执行器将会使用到,作为回调地址) 默认登录账号 “admin/123456”, 登录后运行界面如下图所示。配置文件如下2.部署执行器项目 负责接收“调度中心”的调度并执行;可直接部署执行器,也可以将执行器集成到现有业务项目中。
xxl-job <=2.0.2 反序列化漏洞 搭建 下载源码，导⼊idea，mysql导⼊sql⽂件，修改数据库配置后运⾏XxlJobAdminApplication即可成功启动项⽬。漏洞分析 \xxl-job-2.0.2\xxl-job-admin\src\main\java\com\xxl\job\admin\controller\JobApiController.java中api接⼝设置了@PermessionLimit(limit=false)...
xxl-job api未授权Hessian2反序列化 前言 最新版有师傅已经给出POC,配置执行器,新建任务对关联服务器执行shell命令,但是比较蛋疼的是可能关联服务在内网,无法直接从公网攻击. 链接:https://github.com/jas502n/xxl-job 本文主要针对xxl-job低版本api接口存在Hessian2反序列化,可以直接攻击调度中心. ...
1、初始化数据库 2、搭建调度中心 3、搭建出执行器 XXL-JOB漏洞 1、后台弱口令->RCE 2、未授权API->RCE 3、默认accessToken 4、CVE-2022-36157 5、SSRF漏洞->RCE 总结 前言 在日常开发中,经常会用定时任务执行某些不紧急又非常重要的事情,例如批量结算,计算当日的订单量,当日的成本收入等。当存在大量定时任...
XXL-JOB 未授权 Hessian2反序列化 0x00前言 前一段时间在一个红队项目中偶然间发现了一个XXL-JOB,比较老的一个洞了,搭建成功后会有一个默认账号密码admin/123456写在文件中的。这不是重点,重点是xxl-job <=2.0.2存在Hessian2反序列化。 0x01分析 首先看一下这个未授权反序列化中的未授权,这里判断是否有...
xxl-job <=2.0.2 反序列化漏洞 2020-11-20 11:12 −... depycode 0 3975 docker安装xxl-job 2019-12-13 16:48 −一 安装mysql root@localhost tmp]# docker run -itd --name xxl-mysql -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 mysql:5.6.40 Unable to find image 'mysql:5... ...
xxl-job <=2.0.2 反序列化漏洞 搭建 https://github.com/xuxueli/xxl-job/releases/tag/2.0.2下载源码,导入idea,mysql导入sql文件,修改数据库配置后运行XxlJobAdminApplication即可成功启动项目。 漏洞分析 \xxl-job-2.0.2\xxl-job-admin\src\main\java\com\xxl\job\admin\controller\JobApiController.java中ap...