CVE-2019-17564

CVE-2019-17564: Apache Dubbo Deserialization Vulnerability 0x00 Introduction Apache Dubbo is a high-performance, lightweight open-source Java RPC framework. It provides three core capabilities: interface-based remote method invocation, intelligent fault tolerance and load balancing, and automatic...

Apache-Dubbo-CVE-2023-23638-exp

For a more comprehensive Dubbo vulnerability scanning tool, see my other project: https://github.com/YYHYlh/Dubbo-Scan Apache-Dubbo-CVE-2023-23638-exp An engineering practice for exploiting Apache Dubbo CVE-2023-23638, covering the entire process from service discovery to exploitation and echo in...

apache__dubbo_CVE-2021-30180_2-7-9

Apache Dubbo 项目...

CVE-2019-17564-FastJson-Gadget

CVE-2019-17564 FastJson + SpringFramework 利用链（针对 Dubbo 2.7.3） 完整的分析文章可在 https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability 获取 注意： 这并非一个漏洞利用程序 ；它是一个用于演示在包含特定依赖项的作用域中反序列化的 POC 利用链。 概述 用于创建阿里巴巴 FastJson + Spring 利用链的基本代码，该链被用于在 CVE-2019-17564 中利用 Apache...

apache__incubator-dubbo_CVE-2021-30181_2-6-8

Proyecto Apache Dubbo Apache Dubbo es un framework web y RPC potente y fácil de usar. Admite múltiples implementaciones en varios lenguajes, como Java, Go, Python, PHP, Erlang, Rust y Node.js/Web. Dubbo ofrece soluciones de comunicación, descubrimiento de servicios, gestión de tráfico,...

dubbo-CVE-2023-23638

CVE-2023-23638 仅供学习研究 ZooKeeper 自备 测试环境为 Java 8, 其它版本尚未测试, 不保证可用性 复现时需要为 DemoComsumer 添加 VM 参数: -Ddubbo.hessian.allowNonSerializable=true, 详情参考 https://su18.org/post/hessian/serializable 分析文章: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/ POC 的本质是利用某个 class 修改...

dubbo-rce

CVE-2023-23638 For learning and research purposes only. ZooKeeper is required. The test environment is Java 8. Other versions have not been tested and usability is not guaranteed. During reproduction, you need to add the VM parameter to DemoComsumer: -Ddubbo.hessian.allowNonSerializable=true. For...

cve-2020-1948-poc

cve-2020-1948-poc Apache Dubbo反序列化漏洞 install: root@kitploit: pip3 install dubbo-py root@kitploit: python3 cve-2020-1948.py Demo...

Apache Dubbo 2.5.x-2.7.4 - Insecure Deserialization

Unsafe deserialization occurs within a Dubbo application which has HTTP remoting enabled. An attacker may submit a POST request with a Java object in it to completely compromise a Provider instance of Apache Dubbo, if this instance enables HTTP. This issue affected Apache Dubbo 2.7.0 to 2.7.4,...

Apache-Dubbo-Hessian2-CVE-2021-43297

Apache Dubbo Hessian2异常处理时的反序列化（CVE-2021-43297） 1. 将两个项目分别导入两个idea 2. 先运行org.apache.dubbo.samples.basic.BasicProvidermain启动服务端 3. 再运行org.apache.dubbo.samples.basic.BasicConsumermain启动客户攻击端 效果： https://paper.seebug.org/1814/...

CVE-2021-43297-POC

CVE-2021-43297 漏洞描述 Dubbo Hessian-Lite 3.2.11及之前版本中存在潜在RCE攻击风险。Hessian-Lite在遇到序列化异常时会输出相关信息，这可能导致触发某些恶意定制的Bean的toString方法，从而引发RCE攻击。 原理 最开始的POC只能在Apache Dubbo=2.7.8实现RCE，原理见先知文章审核通过后回来修改。投稿之后又研究了一下，可以在Apache Dubbo=2.7.13实现RCE，原理分析见我的博客文章 效果如下 POC利用条件： apache dubbo = 2.7.13或alibaba dubbo对应版本 知道dub...

Dubbo-deserialization

介绍 JNDI注入利用工具，生成JNDI链接并启动后端相关服务，可用于Fastjson、Jackson等相关漏洞的验证。 使用 可执行程序为jar包，在命令行中运行以下命令： root@kitploit: $ java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C command -A address 其中: -C - 远程class文件中要执行的命令。 （可选项 , 默认命令是mac下打开计算器，即"open /Applications/Calculator.app"） -A - 服务器地址，可以是IP地址或者域名。 （可选项...

CVE-2019-17564

CVE-2019-17564 CVE-2019-17564 Apache Dubbo 反序列化远程代码执行漏洞 video:https://video.twimg.com/tweetvideo/EQlT6nBUEAADdR2.mp4 video:https://video.twimg.com/tweetvideo/EQlT6nBUEAADdR2.mp4 video:https://video.twimg.com/tweetvideo/EQlT6nBUEAADdR2.mp4...

CVE-2019-17564

CVE-2019-17564 CVE-2019-17564 : Apache Dubbo 反序列化远程代码执行...

Dubbo-CVE-2020-1948

Apache Dubbo CVE-2020-1948 测试环境 引子 在这个漏洞出现之初，为了验证该漏洞的危害，我们从互联网上搜寻了很多人整理的例子，发现没有一个能够顺利验证该漏洞，故自己搞了一个，放在这里供大家参考，欢迎交流！ 本环境基于 Apache Dubbo 官方示例环境改造而来，纠正了官方示例程序中几处编译中报错问题。例如： 官方示例代码中应用的 DubboService 类，实际应该 Service。 编译 root@kitploit: cd src mvn package 编译成功后会在 src/target 目录生成 dubbo.jar 文件。 运行...

CVE-2021-25641

CVE-2021-25641 A Exploit Tool For CVE-2021-25641. All dependencies was packed,You don't care the dependencies problem If you have dependencies you can just donwload the CVE-2021-25641.jar to run. Used for: Basic dubbo-common =2.7.3 Dubbo 2.7.0 to 2.7.8 Dubbo 2.6.0 to 2.6.9 Dubbo all 2.5.x version...

Dubbo-deserialization

Apache Dubbo Deserialization Vulnerability Research This repository contains research materials, proof-of-concept code, and exploitation tools related to Apache Dubbo deserialization vulnerabilities, primarily focusing on CVE-2020-1948. Repository Structure Directories...

CVE-2021-25641-Proof-of-Concept

The 0xDABB of Doom - CVE-2021-25641 概念验证代码 Apache/Alibaba Dubbo = 2.7.3 中 CVE-2021-25641 RCE 的 PoC 代码，利用未受信任数据的反序列化；影响版本 = 2.7.6，使用不同 Gadget 在 Checkmarx 博客文章 "The 0xDABB of Doom" 中有深入介绍 https://www.checkmarx.com/blog/technical-blog/the-0xdabb-of-doom-cve-2021-25641/...

CVE-2022-40087

creationtimestamp| type| source ---|---|--- 2026-09-01 20:01:20+00:00| seen| https://t.me/hackingAttack/71968 2026-09-01 20:01:20+00:00| seen| https://t.me/hackingAttack/71970 2026-09-02 01:01:35+00:00| seen| https://t.me/hackingAttack/71970 2026-09-02 01:01:36+00:00| seen|...

hermes-sidecar-poc

Hermes PoC — Pod + Nacos + Math microservice Dubbo Triple S...