不是攻擊者技術水平多高
而是這種弱問題，有工具很容易掃描出來，然后上傳小馬，大馬。。
提權、密碼破解。。
Apache Tomcat crack Scan
Apache Tomcat crack Scan 原版
本資源從作者官方下載。。附帶一個視頻教程。
這是一款Apache Tomcat 弱口令掃描器.同時可掃ADSL路由等
這個作者用的一個版本.可以通過baidu或google抓URL
該版本已經不再更新了
專門 掃描 各種常見的WEb弱口令的，功能強大。必備
PHPMyAdmin、tomcat、IBMDominoCrackAccount

咱們前面分享了TOMCAT入侵的一點小小經驗。下面咱們分享一下最常見和簡單的Jboss入侵。Jboss一個基于J2EE的開放源代碼的應用服務器，JBoss核心服務不包括支持servlet/JSP的WEB容器，一般與Tomcat或Jetty綁定使用。JBoss的默認端口是8080 ，也有人經常配置為80,許多管理員部署完Jboss后不進行安全加固，對外開放了管理界面，且為默認口令，同時有些版本的Jboss也有關的一些漏洞可以利用。入侵者們常利用這個配置不當或是漏洞，進行木馬的上傳，然后，嘿。。JSP馬很多，功能就不討論了。

前幾日，大俠處理了一個安全應急事件，入侵者就是利用這個來進行入侵的。我把過程回放一下，希望對大家有所幫助。
1、漏洞或管理界面的查找，用谷歌。直接輸入jmx-console，查找開了jmx-console管理界面的網站，定然會有許多收獲?；蚴遣檎页Ｒ奐SP木馬的文件名，也會有收獲，都是別人已經入侵的站點。比如有一個木馬，它有多個目錄，你只需要搜索任意或多個目錄名或文件名：console-mgr、idssvc、iesvc、wstats、zecmd、zmeu。一不小心 就發(fā)現(xiàn)有N個被入侵的網站，甚至多個為政府網站。




以上三個圖片，就是被上傳的木馬。
2、木馬的上傳。通過管理界面，進行木馬上傳，某網站有弱口令，
1.Jboss管理界面未限制，公網可任意訪問，且使用默認口令，可上傳木馬，進行入侵
用戶名：admin
密碼：admin
惡意攻擊者就有可能在服務器上執(zhí)行添加管理員賬號的命令或下載木馬程序并運行的命令，最終達到其控制服務器的目的。
惡意攻擊者可以通過該方法向服務器上傳后門程序，從而獲取對服務器的完全控制權；同時可以通過該方法覆蓋服務器上的任意文件，從而造成數(shù)據丟失或系統(tǒng)損壞等。
許多站點，不用登陸，直接就能進行管理界面。
如何上傳木馬呢，在管理界面中查找：jboss.deployment 或是查找：flavor=URL,type=DeploymentScanner

進入找到：URLList，即可在后面看到WAR程序安裝包路徑，甚至其他入侵者行為時的木馬地址，這也算是個收獲：


咱們繼續(xù)說上傳的事吧，在下面找到的void addURL()，即可上傳木馬，輸入木馬的地址（war壓縮文件webshell的url地址），點擊Invoke.

這樣木馬就上傳成功了，然后運行，



3、安全建議：給jmx-console加上訪問密碼，并限制在公網的訪問。同時檢查版本是否有漏洞，是否需要升級。
1.在 ${jboss.server.home.dir}/deploy下面找到jmx-console.war目錄編輯WEB-INF/web.xml文件 去掉 security-constraint 塊的注釋，使其起作用
2.編輯WEB-INF/classes/jmx-console-users.properties或server/default/conf/props/jmx-console-users.properties (version >=4.0.2)和 WEB-INF/classes/jmx-console-roles.properties
或server/default/conf/props/jmx-console-roles.properties(version >=4.0.2) 添加用戶名密碼
3.編輯WEB-INF/jboss-web.xml去掉 security-domain 塊的注釋 ，security-domain值的映射文件為 login-config.xml （該文件定義了登錄授權方式）
參考地址：https://community.jboss.org/wiki/SecureTheJmxConsole

4、總結：
系統(tǒng)部署完成后，修改口令、限制訪問、刪除中間過程或臨時文件；
對系統(tǒng)進行自評估，比如Acunetix Web Vulnerability Scanner ；
不要對外開放管理界面、或不要使用默認的管理界面；
如無必要，可以限制服務器訪問外網的權限，防止反彈。
定期檢查自己所有應用或程序的安全，是否有暴出漏洞或0day，及時修補。
本文出自 “路途拾遺-小俠唐在飛” 博客

版權聲明：本站文章來源標注為YINGSOO的內容版權均為本站所有，歡迎引用、轉載，請保持原文完整并注明來源及原文鏈接。禁止復制或仿造本網站，禁止在非maisonbaluchon.cn所屬的服務器上建立鏡像，否則將依法追究法律責任。本站部分內容來源于網友推薦、互聯(lián)網收集整理而來，僅供學習參考，不代表本站立場，如有內容涉嫌侵權，請聯(lián)系alex-e#qq.com處理。