CVE-2018-15531 javamelody XXE漏洞

栏目: 编程工具 · 发布时间: 6年前

内容简介:下载已知

漏洞重现

下载 javamelody-core-1.73.1.jar ,加载到J2EE项目的 /WEB-INF/lib 目录下,该JAR包依赖 jrobin-1.5.9.jar ,然后发送POST请求时,设置 Content-Type: text/xml ,增加请求头 SOAPAction:aaaaa ,值为任意值。 CVE-2018-15531 javamelody XXE漏洞

漏洞分析

找到漏洞位置和修复方案

已知 javamelody 在新版本 1.74 中修复了该XXE漏洞,所以来到页面 https://github.com/javamelody/javamelody/releases CVE-2018-15531 javamelody XXE漏洞 点击进去可以看到新的修改部分,有一个备注为 fix for security 的提交,链接为 https://github.com/javamelody/javamelody/commit/ef111822562d0b9365bd3e671a75b65bd0613353 CVE-2018-15531 javamelody XXE漏洞 CVE-2018-15531 javamelody XXE漏洞 得到漏洞位置及修复代码。

IDE找到触发位置

CVE-2018-15531 javamelody XXE漏洞 Eclipse的快捷键是Ctrl+Alt+H,快速找到调用函数的位置,最后可以找到完整的调用链

这里只需要重点关注 net.bull.javamelody.PayloadNameRequestWrapper.initialize() 方法 CVE-2018-15531 javamelody XXE漏洞 所以这里在重现漏洞时需要设置请求头和contentType了。

利用方式参见 http://www.nxadmin.com/web/1686.html


以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

分布式服务架构:原理、设计与实战

分布式服务架构:原理、设计与实战

李艳鹏、杨彪 / 电子工业出版社 / 2017-8 / 89.00

《分布式服务架构:原理、设计与实战》全面介绍了分布式服务架构的原理与设计,并结合作者在实施微服务架构过程中的实践经验,总结了保障线上服务健康、可靠的最佳方案,是一本架构级、实战型的重量级著作。 《分布式服务架构:原理、设计与实战》以分布式服务架构的设计与实现为主线,由浅入深地介绍了分布式服务架构的方方面面,主要包括理论和实践两部分。理论上,首先介绍了服务架构的背景,以及从服务化架构到微服务架......一起来看看 《分布式服务架构:原理、设计与实战》 这本书的介绍吧!

MD5 加密
MD5 加密

MD5 加密工具

UNIX 时间戳转换
UNIX 时间戳转换

UNIX 时间戳转换

RGB HSV 转换
RGB HSV 转换

RGB HSV 互转工具