Khai thác lỗi Apache Struts - Exploit

[krone]

Đầu tháng 3 vừa qua chúng ta đã được chứng kiến sự ra mắt lỗi từ CVE 2017-5638 bắt nguồn từ Apache Struts. Lỗi này xuất hiện trên 2 triệu trang web đang sử dụng kiến trúc của Struts cho Apache. Lỗi khá nghiêm trọng có thể dẫn đến Remote Code Excutive - RCE, khiến ta có thể tạo backdoors, chiếm quyền quản trị, tạo botnet,...

Ở đây chúng ta sẽ sử dụng một tool được xây dựng nên để Pentest các lỗi trong JBoss Application Server và nền tảng Java code, Framework, Application,...v.v

JexBoss

Yêu cầu cho jexboss là:

• Python >= 2.7.x
• urllib3
• ipaddress

Cài đặt:

git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

Clip demo: