1、產(chǎn)品簡介
? ? ?Hessian是二進(jìn)制的web service協(xié)議，官方對Java、Flash/Flex、Python、C++、.NET C#等多種語言都進(jìn)行了實(shí)現(xiàn)。Hessian和Axis、XFire都能實(shí)現(xiàn)web service方式的遠(yuǎn)程方法調(diào)用，區(qū)別是Hessian是二進(jìn)制協(xié)議，Axis、XFire則是SOAP協(xié)議，所以從性能上說Hessian遠(yuǎn)優(yōu)于后兩者，并且Hessian的JAVA使用方法非常簡單。它使用Java語言接口定義了遠(yuǎn)程對象，集合了序列化/反序列化和RMI功能。
2、漏洞概述
? ? ? Hessian是一個輕量級的RPC框架。它基于HTTP協(xié)議傳輸，使用Hessian二進(jìn)制序列化，對于數(shù)據(jù)包比較大的情況比較友好，Hessian反序列化類似Java反序列化，hessian-4.0.60.jar及之前版本中存在反序列化漏洞，成功利用此漏洞可在目標(biāo)系統(tǒng)上執(zhí)行惡意代碼。攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼執(zhí)行攻擊，最終獲取服務(wù)器最高權(quán)限。
3、影響范圍
? ? ?版本? ?=<? ?hessian-4.0.60.jar
4、環(huán)境搭建
? ? 這里我們使用vulfocus靶場進(jìn)行復(fù)現(xiàn)
?5、利用流程
?1、打開靶場環(huán)境，啟動JNDI利用工具：JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar是某大佬寫得JNDI注入利用工具文章來源：http://www.zghlxwxcb.cn/news/detail-672180.html
? ?工具地址：文章來源地址http://www.zghlxwxcb.cn/news/detail-672180.html
到了這里，關(guān)于Hessian 反序列化RCE漏洞復(fù)現(xiàn)的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
