聲明：由于傳播、利用此文所提供的信息而造成的任何直接或者間接的后果及損失，均由使用者本人負責，文章作者不為此承擔任何責任。

參考鏈接

Apache Dubbo Provider默認反序列化RCE
Apache Dubbo Provider反序列化漏洞復現(xiàn)及分析

背景知識：大型企業(yè)通常在企業(yè)信息化建設中普遍系統(tǒng)會使用dubbo組件，并且結合阿里zookeeper（高富帥專用，聽說購買阿里來維護，價格昂貴）可實現(xiàn)對接口的重復利用。

如何探知是否使用dubbo？

對接口并發(fā)調(diào)用，導致無法提供服務，從而產(chǎn)生dubbo資源無法利用報錯，此處可使用burp intrude模塊進行探測

image.png

一次失敗的RCE

image.png

IDEA項目 apache dubbo demo項目

image.png