Apache ActiveMQ RCE
这里可以调用任意类的一个string类型的有参公有构造函数，很容易想到ClassPathXmlApplicationContext。
Tag
#RCE
46 篇文章CVE-2023-42793 JetBrains TeamCity 权限绕过
唯一作用就是从RequestInterceptors对象中拿到myPreHandlingDisabled字段值，然后移除掉//RPC2。
LG Simple Editor 的几个RCE漏洞
LG是一家专门搞LED的公司，旗下有一些产品，这次看的是zdi爆出来的LG Simple Editor，公网数量虽然不多，但是漏洞是未授权RCE。
CVE-2023-39476 Inductive Automation Ignition JavaSerializationCodec Deserialization RCE
根据公告来看 未授权，反序列化点在JavaSerializationCodec，漏洞比较特殊，可能是设计问题，找找吧。
CVE-2023-37895: Apache Jackrabbit RMI RCE
关键是怎么利用呢？根据文档 用JcrUtils拿可以拿到Repository，给定http url拿到的是URLRemoteRepository。
CVE-2023-38646 Metabase pre-auth rce
抓包发现安装过程中有一个请求 其相应包中包含了setup-token 字段。
VMware VRealize Network Insight 命令注入和目录穿越及补丁绕过
本文分为两部分，前半部分主要是对VMSA-2022-0031的分析，后半部分是我挖的补丁绕过，官方公告是VMSA-2023-0012。
Nacos Hessian 反序列化 RCE
漏洞概述 由于7848端口采用hessian协议传输数据，反序列化未设置白名单导致存在RCE漏洞。
Moxa MXsecurity 硬编码认证绕过/SSH伪shell命令注入
登录ssh 用admin用户登录只有一个cli程序，不是bash，需要挂载vmdk修改/etc/shadow文件，改掉user1用户的密码。
MessagePack-CSharp Typeless Mode Deserialization RCE
MessagePack-CSharp库对于动态类型的处理采用的是Typeless模式，对应的Resolver是TypelessContractlessStandardResolver。
Python pth文件写入getshell
python的site模块支持"Site-specific configuration hook"的功能，这个功能点本身是用来将特定路径加入模块搜索路径。该模块在初始化期间自动导入。
VMware vROPS RCE of java bean
前言 这个漏洞是看了mrme的文章之后 顺手看了看vROPS，发现也存在这个漏洞，于是有此文，漏洞比较简单，下面简单写一下。这是一个授权后的RCE漏洞。
VMware vROPS 文件读取到反序列化RCE
配置调试 修改/opt/vmware/etc/vmware-vcops-firewall.conf配置文件，修改加上自己的端口然后vmware-vcops-firewall restart开防火墙。
CVE-2023-28432 Minio信息泄露导致RCE
在集群部署中，MinIO返回所有环境变量，包括MINIOSECRETKEY和MINIOROOTPASSWORD，导致信息泄露。
Apache Geode/VMware GemFire Deserialize RCE
Introduction 该漏洞是我在挖掘VMware vROPS产品中发现的反序列化漏洞，但是在VMware vROPS产品中并不能直接利用，因为该产品开启了ssl并且开启了双向认证，必须有ssl的证书才可以反序列化。这里先记录一下未开启ssl的反序列化RCE。
GoAnywhere 未授权反序列化RCE
文章围绕《GoAnywhere 未授权反序列化RCE》展开，主要梳理复现、原理等内容。
CVE-2022-43781 Bitbucket Server & Data Center 环境变量注入导致RCE
补丁要求用户名不能有空白字符，典型。我们需要看这个空白字符在哪用到了，以及对我们漏洞利用起了什么作用。
ZK框架权限绕过导致R1Soft RCE并接管Agent
调试java需要编辑/usr/sbin/r1soft/conf/server.conf加一行。
CVE-2022-42889 Apache Commons Text RCE (Text4Shell)
1.10.0修复在addDefaultStringLookups添加默认lookup时不再添加script、url、dns标签。
梦游一次从jmx到rce
service:jmx:rmi:///jndi/rmi://1.1.1.157:9003/jmxrmi jconsole连上去之后发现一些敏感的账号密码。
CVE-2022-36923 ManageEngine OpManager getUserAPIKey Authentication Bypass
MickeyLiteUtil.getUserId()需要给一个正确的domainName才行，得看数据库AaaLogin表中有什么值。
CVE-2022-35405 Zoho Password Manager Pro XML-RPC RCE
回顾 CVE-2020-9496 Apache Ofbiz XMLRPC RCE漏洞 漏洞由XmlRpcRequestParser解析xml时触发，由此我们用tabby来查询谁调用了XmlRpcRequestParser。
CVE-2022-2143 Advantech iView NetworkServlet 命令注入RCE
那么mysqldump可以拼接-w参数将内容写入文件，然后可以多次传递-r参数覆盖原有的-r文件路径值。
CVE-2022-28219 Zoho ManageEngine ADAudit Plus XXE到RCE
分析 这个洞用了两个点串起来成了一个rce，分别是xxe和一个readObject的点。
CVE-2022-21445 Oracle ADF Faces 反序列化RCE
安装fmw12.2.1.3.0infrastructure.jar 下一步下一步就行。
SmarterStats 基于gRPC的RCE
分析 SSSvc.exe运行在50003端口上，默认监听0.0.0.0。
CVE-2022-26134 Confluence Server Data Center OGNL RCE
其中this.interceptors是拦截器，Confluence默认有28个。
Follina Microsoft Office RCE with MS-MSDT Protocol
前言 看推特发了一个好玩的office rce。最早应该是起源于naosec的推特。
CVE-2022-22972 VMware Workspace ONE Access Authentication Bypass RCE
补丁对比 HW-156875-Appliance-21.08.0.1/frontend-0.1.war中增加了一个HostHeaderFilter，匹配全路由。
JBoss EAP/AS <= 6.* RCE及rpc回显
议题中讲到了jboss的4446端口反序列化rce，和一条jndi注入的gadget。
CVE-2022-22954 VMware Workspace ONE Access Server-side Template Injection RCE
看路由是在catalog-portal app下，cd到/opt/vmware/horizon/workspace/webapps/catalog-portal，然后把jar包拖出来解压之后，grep -irn "console.log"。
CVE-2022-26500 Veeam Backup & Replication RCE
还有补丁包VeeamBackup&Replication11.0.1.126120220302.zip的下载地址。
CVE-2021-44521 Apache Cassandra 加载UDF RCE
先说原理，enableuserdefinedfunctionsthreads为false时会隐式禁用security-manager，导致可以通过udf执行java代码。
CVE-2021-42631 PrinterLogic Web Stack unserialize RCE
前言 看到推特上有人发 PrinterLogic Web Stack unserialize RCE，但是poc打码了，所以自己下了一个分析一下。
CVE-2022-22733 Apache ShardingSphere ElasticJob-UI RCE
handleLogin函数处理登录时会进行判断，如果authenticationResult.isSuccess()登录成功会返回getToken()。
MeterSphere PluginController Pre-Auth RCE
文件名形如/opt/metersphere/data/body/plugin/490fb08a-eae3-4414-a991-09f16f5b8f5etest.jar。
CVE-2021-45232 Apache APISIX Dashboard Unauthorized Access Vulnerability
修改 /home/ubuntu/apisix-docker/example/docker-compose.yml 文件，改一个老版本。
CVE-2021-44077 Zoho ManageEngine ServiceDesk Plus Pre-Auth RCE
环境搭建 11303版本的才有ImportTechnicians action，11305版本没有，踩了个大坑。
CVE-2021-34992 Orckestra C1 CMS Deserialization RCE
漏洞描述 Orckestra C1 CMS 6.10存在 .net 反序列化漏洞，需要登录，成因是因为TypeNameHandling.Auto。
CommVault Command Center Pre-Auth Rce
CommVault这玩意是两种语言(.net和java)开发的，两掺挺有意思。
Apache Flink CVE-2020-17518/17519 读写反序列化
RouterHandler类是路由核心类，用于处理路由的整体交互走向。QueryStringDecoder类是自实现的解码类，在qsd.path()中首次进行url解码。
CVE-2020-9484 Tomcat Session Rce 复现分析
修改tomcat路径conf目录下的context.xml 在 标签内加入以下配置。
CVE-2020-7961 Liferay Portal 反序列化RCE分析
漏洞概述 2020/3/24日，陈师傅在推特上转发了一篇文章，在该文中Code White 公开了 Liferay Portal JSON反序列化RCE漏洞，攻击者可以发送payload到服务器造成远程代码执行，本文是对其的分析。
CVE-2020-10189 Zoho ManageEngine Desktop Central反序列化RCE
漏洞描述 在3月6日，@steventseeley 在twitter上发布了关于 Zoho 企业产品 Zoho ManageEngine Desktop Central 中的反序列化远程代码执行漏洞。
通达OA 任意文件上传配合文件包含导致RCE
这里不传P参数就能绕过exit了，然后走到下面的includeonce进行文件包含造成RCE。
Weblogic CVE-2020-2551 IIOP协议反序列化RCE
在Weblogic中，默认启用了IIOP，而IIOP的传输也是通过序列化和反序列化的形式来进行的。在Weblogic中RMI-IIOP模型可以借用奇安信观星实验室的一张图来说明。