Dubbo 3.x命令执行利用工具(CVE-2023-23638)

工具说明

本工具支持CVE-2023-23638在Dubbo 3.x的完整利用，覆盖服务发现到漏洞利用及回显。在Dubbo 2.x版本也可以利用，需要自行传入服务名、方法名等。

针对这个漏洞我写了两篇分析文章：

1. 漏洞利用：https://xz.aliyun.com/t/12396

2. 漏洞回显：https://forum.butian.net/share/2277

本工具仅作学习使用，未考虑诸多实战中的问题，例如：

1. 自定义服务名、方法名利用

2. 字节码java编译的版本问题

工具截图

1. 注入字节码

2. 命令执行

下载地址

https://github.com/YYHYlh/Apache-Dubbo-CVE-2023-23638-exp

原文始发于微信公众号（渗透安全团队）：Dubbo 3.x命令执行利用工具(CVE-2023-23638)