J2EEScan：J2EE安全扫描（Burp插件）
什么是J2EEScan
J2EEScan是一个基于Web安全扫描套件Burp Suite Proxy的插件， 增加了针对J2EE应用的安全扫描测试项目。
它是如何工作的？
该插件已完全集成到Burp Suite 扫描; 它增加了一些新的测试用例和新策略去发现不同的J2EE安全漏洞。
Jetty版本检测和远程泄漏共享缓冲区漏洞（CVE-2015至2080年）
Apache Wicket的任意资源访问（CVE-2015-2080）
测试案例:
杂项
表达式语言注入 (CVE-2011-2730) Apache Roller OGNL 注入 (CVE-2013-4212) 本地文件包含 - /WEB-INF/web.xml Retrieved 本地文件包含 - Spring 应用上下文检索 本地文件包含 - struts.xml 检索 本地文件包含 - weblogic.xml 检索 本地文件包含 - ibm-ws-bnd.xml 检索 本地文件包含 - ibm-web-ext.xmi检索 本地文件包含 - ibm-web-ext.xml 检索 本地文件包含 - /etc/shadow 检索 本地文件包含 - /etc/passwd 检索 HTTP 验证弱口令 WEB-INF 应用程序配置文件检索 Status Servlet (CVE-2008-3273) Snoop Servlet (CVE-2012-2170) 扩展路径遍历扫描 AJP 服务检测 - 感谢@ikki
Apache Struts
Apache Struts 2 S2-023 - 感谢 @h3xstream Apache Struts 2 S2-016 Apache Struts 2 S2-017 Apache Struts 2 S2-020 Apache Struts 2 S2-021 Apache Struts DevMode 启用 Apache Struts OGNL控制台
Grails
Grails 路径遍历 (CVE-2014-0053)
Apache Wicket
Apache Wicket 任意资源访问 (CVE-2015-2080)
Java Server Faces
Java 服务器面临本地文件包含 (CVE-2013-3827 CVE-2011-4367)
JBoss SEAM
JBoss SEAM 远程命令执行 (CVE-2010-1871)
不正确的错误处理 JSF Apache Struts Apache Tapestry Grails GWT Java XML 安全 XInclude 支持 XML 外部实体 信息披露问题 远程 JVM 版本 Apache Tomcat 版本 Jetty 版本 Oracle 应用服务器版本 Oracle Glassfish 版本 Oracle Weblogic 版本 合规性检查 web.xml - HTTP动词篡改 web.xml - 会话跟踪URL参数 web.xml - 不完整的错误处理 web.xml - 调用servlet
JBoss
JBoss Web 服务枚举 JBoss 管理控制台弱口令 JBoss JMX/Web 控制台没有密码保护 JBoss JMX 调用远程命令执行
Tomcat
Tomcat 管理器控制台弱口令 Tomcat 主机管理控制台弱口令 End Of Life Software - Tomcat
Weblogic
Weblogic UDDI浏览器检测 Weblogic UDDI浏览器SSRF漏洞 (CVE-2014-4210) Weblogic 管理控制台弱口令
Oracle 应用服务器
添加日志检查Oracle数据库访问 增加了检查多个Oracle应用服务器的默认资源(CVE-2002-0565, CVE-2002-0568, CVE-2002-0569) End Of Life Software - Oracle Application Server
Jetty
Jetty 远程泄漏共享缓冲区 (CVE-2015-2080) found by @gdssecurity End Of Life Software - Jetty
Apache Axis
Apache Axis2 - Web服务枚举 Apache Axis2 - 管理控制台弱口令 Apache Axis2 - 本地文件包含漏洞(OSVDB 59001)
如何安装 ?
从 "Cookie jar" 选择"Options" -> "Sessions"启用扫描仪领域
加载 J2EEscan.jar 在 Burp Extender 标签,或者从BApp Store下载
该插件至少需要的Java 1.7版本支持
*参考来源： GitHub ，整理，转载请注明来自FreeBuf黑客与极客（FreeBuf.com）
帅气凌云 10 篇文章 等级： 4 级
网站作好了，装一套防毒软体，网站架一组防火牆。很多公司以为如此以来，网站就能高枕无忧。如此轻忽的态度 显示对于网站安全的警觉性十分缺乏，因此导致网站资安漏洞百出。弱点扫描｛Www.VulScan.Cn｝，为网站健康检查，找出漏洞！
个人主页 发私信
正文到此结束
热门推荐
相关文章
Loading...
![[HBLOG]公众号](http://www.liuhaihua.cn/img/qrcode_gzh.jpg)
