JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）
一、漏洞描述
该漏洞为 Java反序列化错误类型，存在于 Jboss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。
二、漏洞原理
该漏洞出现在/invoker/readonly请求中，服务器将用户提交的POST内容进行了Java反序列化：
三、环境搭建
四、漏洞复现
访问目标网站
检测方法一：
使用工具检测
检测方法二：
访问 /invoker/readonly 返回500，
说明页面存在，只要页面存在肯定有漏洞，此页面存在反序列化漏洞
反弹shell的方法：https://vulhub.org/#/environments/jboss/CVE-2017-12149/