最近、Sangfor は、Apache axis コンポーネントのリモート コマンド実行の脆弱性を悪用する方法を発見しました。この脆弱性の本質は、管理者による AdminService の設定ミスにあります。enableRemoteAdmin
属性が true に設定されている場合、攻撃者はリモートから AdminService インターフェイスを使用して、構築された WebService を自己公開することができます。生成された WebService にアクセスするとき、内部参照クラスは、リモート コマンド実行の脆弱性を悪用するために使用されます。
axis コンポーネントの紹介
axis の正式名 Apache EXtensible Interaction System
は、Apache 拡張可能対話システムです。 axis は、サーバー側、クライアント側、およびゲートウェイの SOAP 操作を作成するための基本的なフレームワークを提供します。 axis の現在のバージョンは主に Java 用であり、C 指向のバージョンは開発中です。 axis は正確には SOAP エンジンではありませんが、スタンドアロン SOAP サーバーとしても、サーブレット エンジン (Tomcat など) に埋め込まれたサーバーとしても使用できます。
脆弱性分析
脆弱性の本質は、管理者の AdminService
の設定エラーです。 EnableRemoteAdmin 属性が true に設定されている場合、攻撃者は WebService
を構築して freemarker
コンポーネントの template.utility.Execute
クラスを呼び出し、リモートで使用することができます。 AdminService インターフェイスを使用して WebService を公開し、生成された WebService インターフェイスに再度アクセスし、実行するコマンドを渡すと、リモート コマンド実行の脆弱性を悪用できます。
脆弱性の再発
axis 1.4 tomcat6
の環境を構築し、AdminService構成のenableRemoteAdmin属性を次のように設定します。真実 。
次に示すように、WebService 公開用に構築されたデータを渡します。
次に、WebService インターフェイスを呼び出してコマンドを渡し、実行します。以下:
修復提案
1. URL アクセス制御ポリシーの構成: Axis サーバーに展開パブリック ネットワークでは、ACL により /services/AdminService
および /services/FreeMarkerService
パスへのアクセスが禁止されています。
2. 軸のリモート管理機能を無効にする: バージョン 1.4 未満の軸では、デフォルトでリモート管理機能がオフになっていますので、必要な場合以外は有効にしないでください。これをオフにする必要がある場合は、axis ディレクトリの WEB-INF
フォルダーにある server-config.wsdd
ファイルを変更し、「」の値を設定する必要があります。 EnableRemoteAdmin
" は false です。
Web セキュリティについて詳しく知りたい場合は、Web サーバー セキュリティ
を参照してください。以上がApache axis コンポーネントのリモート コマンド実行の脆弱性を修正する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。

在线FPS游戏中作弊一直是个大问题,即使Valorant不存在。它会破坏游戏体验,降低玩家对游戏的兴趣。Valorant从其初期阶段开始就试图通过自己的RiotVanguard保护系统来克服这一不足。安装游戏一次就需要重启系统,完全正常,Vanguard系统会自动启动。但是,如果您重新启动系统后仍然看到“您的游戏需要重新启动系统才能玩。请重新启动您的计算机。”在首页留言?这个问题很多用户都遇到过,不用担心。请遵循这些修复程序以获得快速解决方案。修复1–不要退出先锋重新启动计算机后

Discord 是游戏玩家与其他用户交流时首选的最受欢迎的 VOIP 应用程序。它具有内置的游戏检测功能,允许用户将他/她正在玩的当前游戏的名称广播给其他人。但是,许多用户报告说 Discord 无法检测到他们正在玩的当前游戏。您是否正在为discord中的游戏检测功能停止工作而烦恼?那么你已经到达了正确的帖子。在这里,我们列出了一些故障排除策略,可以帮助您在 Windows PC 上解决此问题。修复 1 – 启用 Discord 游戏检测1. 单击任务栏上的Windows开始按钮。在 Wind

<p>在您的系统上运行新应用程序时,您是否在屏幕上看到此错误消息-“<strong>backgroundTaskHost.exe–ApplicationError</strong>”?backgroundTaskHost.exe是与MicrosoftCortana的虚拟助手相关联的关键系统进程。它很少因应用程序崩溃并显示此错误消息。这可能是导致此问题的恶意软件感染的情况。只需遵循这些说明并制定这些修复程序即可快速

<p>许多用户报告在尝试打开WindowsPC上的任何应用程序时看到错误<strong>图像错误,错误状态0xc0000020。</strong>根据引发错误的应用程序,错误消息表明与应用程序相关的特定DLL文件可能未设计为在Windows上运行或可能遇到任何问题。基本上,此错误是应用程序运行所必需的系统文件损坏的结果。</p><p>此错误状态0xc0000

大多数Windows用户都知道Wmic是一个命令行和脚本界面,它简化了WindowsManagementInstrumentation(WMI)和通过WMI管理的系统的使用。话虽如此,微软从Windows10和Windows11中删除了WMIC,但如果你选择了,你可以将功能添加回你的PC。确实将Wmic添加回其Windows11计算机的用户正在报告处理WMC访问被拒绝错误。不用担心,您来对地方了,因为我们将通过正确的步骤在几分钟内解决此问题,从而向您展

键盘布局是将多种语言输入计算机的好方法,无需专门的硬件。但是,一些用户报告说他们无法在Windows11中删除键盘布局。虽然这不会造成重大问题,但总是有可能错误地选择错误的键盘布局。此外,许多用户更喜欢整洁的PC,没有可能妨碍进度的不必要设置或应用程序,因此需要删除额外的键盘布局。因此,如果您一直在尝试但无法删除Windows11中的键盘布局,这里是解决问题的最有效方法。如果我无法在Windows11中删除键盘布局怎么办?1.使用设置按Windows+I启动设置应用程序,然后从左侧导航

最近,Windows用户报告遇到ffmpeg.dll文件丢失或未找到错误。基本上,此错误可能会在应用程序安装时、系统启动时或访问某些网站时引发。当系统文件损坏时,可能会出现ffmpeg.dll错误,从而使系统目录无法发现DLL文件。此错误还与MicrosoftTeams、Skype、Discord、适用于Windows的WhatsApp、Deezer等应用程序相关联。向用户显示的错误消息是:程序无法启动,因为您的计算机缺少ffmpeg.dll。尝试重新安装程序以解决此问题。如果

<p>MSTeams是与队友和同事交流、聊天或通话的值得信赖的平台。MSTeams上的错误代码为80090016以及<strong>您的计算机的受信任的平台模块出现故障</strong>的消息可能会导致登录困难。在错误代码得到解决之前,该应用将不允许您登录。如果您在打开MS团队或任何其他Microsoft应用程序时遇到此类消息,那么本文可以指导您解决问题。</p><h2&


ホットAIツール

Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。

Undress AI Tool
脱衣画像を無料で

Clothoff.io
AI衣類リムーバー

AI Hentai Generator
AIヘンタイを無料で生成します。

人気の記事

ホットツール

DVWA
Damn Vulnerable Web App (DVWA) は、非常に脆弱な PHP/MySQL Web アプリケーションです。その主な目的は、セキュリティ専門家が法的環境でスキルとツールをテストするのに役立ち、Web 開発者が Web アプリケーションを保護するプロセスをより深く理解できるようにし、教師/生徒が教室環境で Web アプリケーションを教え/学習できるようにすることです。安全。 DVWA の目標は、シンプルでわかりやすいインターフェイスを通じて、さまざまな難易度で最も一般的な Web 脆弱性のいくつかを実践することです。このソフトウェアは、

AtomエディタMac版ダウンロード
最も人気のあるオープンソースエディター

Dreamweaver Mac版
ビジュアル Web 開発ツール

PhpStorm Mac バージョン
最新(2018.2.1)のプロフェッショナル向けPHP統合開発ツール

SecLists
SecLists は、セキュリティ テスターの究極の相棒です。これは、セキュリティ評価中に頻繁に使用されるさまざまな種類のリストを 1 か所にまとめたものです。 SecLists は、セキュリティ テスターが必要とする可能性のあるすべてのリストを便利に提供することで、セキュリティ テストをより効率的かつ生産的にするのに役立ちます。リストの種類には、ユーザー名、パスワード、URL、ファジング ペイロード、機密データ パターン、Web シェルなどが含まれます。テスターはこのリポジトリを新しいテスト マシンにプルするだけで、必要なあらゆる種類のリストにアクセスできるようになります。
