暴露目录现 Fastjson RCE 完整武器库：含 SSH 持久化与 C2 通道
jedisct1 · x · 2026-10-22
安全研究者 @Yusufcancakiir 在一个暴露的 HTTP 目录中发现了围绕 CVE-2026-16723（Fastjson RCE）构建的完整攻击工具包，远不止单个 PoC：
- 组件齐全：包含 HTTP/WebSocket 漏洞利用、动态 JAR 载荷生成、基于 HTTP 轮询的命令通道（/CMD 与 /RESULT）、提权检查及 SSH 持久化机制，甚至附有利用工作流文档
- 载荷分析：作者提取并逆向了 p.jar（仅 532 字节），其 Java 8 字节码中一个带 @JSONType 注解的类在静态初始化块中调用 Runtime.exec() 执行 id > /tmp/pwned
- 持久化逻辑：脚本会写入 authorizedkeys、开启 PermitRootLogin 并重启 sshd，实现 root 级 SSH 后门
该事件展示了针对 Fastjson 反序列化漏洞的武器化已高度工程化，值得 Java 运维方警惕。
「安全」频道最新
- 研究者呼吁用 AI 打国家级网络安全战：烂账还清后系统将首次真正安全 — max_paperclips · 2026-10-22
- CA 巨头 eMudhra 中间证书私钥疑遭泄露，Mozilla P1 级调查 — basedjensen · 2026-10-22
- php2shell 影响扩大：NSA 建议离线，荷兰议会与 Wikipedia 部分宕机 — aestheticedwar1 · 2026-10-22
- NVIDIA 开源 SkillSpector:3万 agent 技能扫描发现26%含漏洞 — dunkhippo33 · 2026-10-22
- AI 医疗分诊将一半真实急诊误判为低紧急度,医院吁加问错判概率 — YvesMulkers · 2026-10-22
- 传数十个 AI 智能体集群正攻击半个互联网,呼应 OpenAI 两个月前警告 — haider1 · 2026-10-22