JexBoss:一个 Java 漏洞检测脚本的入门体验

最近想要买拓展坞，于是去网络上翻找测评文章。 看到一篇极冷门的测评，虽然0赞0评论0阅读，但是居然对我帮助显著。那么希望我写的东西也可以对你有所帮助吧。

JexBoss 全称是“JBoss Verify and EXploitation tool”，它是一个开源的、用 Python 编写的漏洞检测与利用工具，主要用于攻击旧版本的 JBoss 应用服务器，能够自动化地检测并利用多个高危漏洞。由于其强大的功能，JexBoss 在网络安全领域是一把名副其实的“双刃剑”。

 一：正面：安全研究人员和红队人员会用它进行授权的渗透测试，以快速发现并修复系统中的安全弱点。

二：反面：因为它的高效和自动化，也被众多黑客组织和勒索软件团伙（如曾臭名昭著的 SamSam）所青睐，用来发起网络攻击

JexBoss 本质上是别人写好的一套 Python 脚本，专门对着 Java 写的中间件和框架测漏洞。最早它是为 JBoss 应用服务器设计的，后来慢慢把 Struts2、Jenkins、Tomcat 这些也都收了进来，变成了一个“大杂烩”工具。

它能查的常见问题有：

- JBoss/WildFly 管理页面没设密码，谁都能访问

- Java 反序列化漏洞（比如老版本的 Commons Collections 组件）

- Jenkins 的命令行接口被远程利用

- Struts2 的经典高危漏洞

对于新手来说，最大的好处就是不用再去单独找每个漏洞的利用程序，跑一个脚本就能试出好几种可能性。

装它几乎不需要折腾环境。只要电脑上有 Python（2.7 以上版本就行），复制下面三行命令就完事：

git clone https://github.com/joaomatosf/jexboss.git

cd jexboss

pip install -r requires.txt

装好以后，常见的使用方式有三种：

1. 扫单个目标

python jexboss.py -u http://192.168.1.100:8080

给出网址，脚本自己会判断上面跑的是啥 Java 服务，然后挨个试对应的漏洞。

2. 扫整个网段

python jexboss.py -mode auto-scan -network 192.168.1.0/24 -ports 8080,80

适合靶场里不知道靶机 IP 的时候，把整个网段的 8080 和 80 端口都过一遍。

3. 指定只测某一类漏洞

python jexboss.py -u http://target:8080 --struts2

如果猜到题目可能和 Struts2 有关，直接加参数跳过不相干的检查，速度更快。

扫到漏洞的时候，脚本会停一下让你确认要不要继续利用，不会乱来。

快速发现弱点

很多 Web 题会故意放一个没关严的 JBoss 或 Jenkins 服务，拿 JexBoss 扫一下，如果爆出未授权访问，就能直接走通部署 webshell 的路子，省得手动猜后台地址。

跟着学漏洞原理

脚本里有个叫 `check_vul()` 的函数，里面写了各种漏洞的判断条件。想知道某个漏洞是怎么被检测出来的，翻一翻代码比光看文章更直观，也能学着模仿写自己的检测脚本。

重要警告！！！

工具只能在授权环境里用，比如学校给的靶场、自己搭的虚拟机。拿它去扫公网服务器是违法的，这底线不能碰。

最后，希望这篇简单的介绍能让同样刚入门的同学少走一点弯路，用好工具，踏实学技术，感谢观看❤️❤️❤️