Java websphere反序列化漏洞

IBM发布的Websphere安全公告： https://www.ibm.com/support/pages/security-bulletin-vulnerability-apache-commons-affects-ibm-websphere-application-server-cve-2015-7450 摘要 WebSphere Application Server和W...

IBM WebSphere曝高危RCE漏洞，攻击者可远程执行任意代码。

序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，类ObjectInputStream类的readObject()方法用于反序列化。比如你可以将字符串对象先进行序列化，存储到本地文件，然后再通过反序列化进行恢复。

今天总结了一下WebSphere中间件的常见漏洞，也是作为中间件漏洞介绍的最后一篇文章，回看这几篇文章，会思考的小伙伴已经可以发现不同中间件的漏洞总会有相似的地方，这需要我们多多总结，有兴趣的小伙伴不妨自己搭建靶机试一下，喜欢本文希望可以一键三连。最近找到一个VUE的文档，它将VUE的各个知识点进行了总结，整理成了《Vue 开发必须知道的36个技巧》。内容比较详实，对各个知识点的讲解也十分到位。

IIS，Apache，Nginx，Tomcat，Docker，K8s，Weblogic，JBoos，WebSphere，Jenkins ，GlassFish，Jetty，Jira，Struts2，Laravel，Solr，Shiro，Thinkphp，Spring，Flask，jQuery 等。Docker 容器是使用沙盒机制，是单独的系统，理论上是很安全的，通过利用某种手段，再结合执行 POC 或 EXP，就可以返回一个宿主机的高权限 Shell，并拿到宿主机的。root 权限，可以直接操作宿主机文件。

写在前面：本文为漏洞复现系列WebSphere篇，复现的漏洞已vulhub中存在的环境为主。 欢迎大家点赞收藏，点点关注更好了hhhhhh 文章目录简介WebSphere反序列化(CVE-2015-7450）漏洞原理影响范围漏洞复现修复建议弱口令 && 后台Getshell漏洞原理影响范围漏洞复现修复建议CVE-2020-4450总结 简介 WebSphere® Application Server 加速交付新应用程序和服务，它可以通过快速交付创新的应用程序来帮助企业提供丰富的用户体验从基

0x00 前言 目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁，目前看到的修复方法无非两条： 使用SerialKiller替换进行序列化操作的ObjectInputStream类; 在不影响业务的情况下，临时删除掉项目里的 “org/apache/commons/collections/functors/InvokerTransformer.cl...