什么是XXL-JOB

XXL-JOB是一个轻量级分布式任务调度平台，支持通过web页面对任务进行操作，基于Java-spring boot框架开发，利用Maven依赖编译好，开箱即用。
如果XXL-JOB任务调度中心后台使用了弱密码，则可通过新增任务来反弹shell（实际上可以执行很多系统命令，因为bash shell直接写进服务器里面了）。

XXL-JOB初体验

今天测试，在后台看到了这个陌生的东西，说实话，安全测试范围实在是太大了，这个东西我以前的确没有遇到过，不得不说大项目的好处就是遇到的东西更多，能学到更多的新花样，在一位安恒大佬的指点下，我直接直奔主题，参考文章如下
https://www.cnblogs.com/kbhome/p/13210394.html

废话不多说，开整
点击“任务管理”->“新增”（我打码了）

点击任务管理、新增一个执行任务，配置如下（运行模式选择shell，cron是linux定时任务，如下0时0分0秒执行一次）：

进入GLUE面板，写入执行的脚本命令。随意命名备注名称，保存并关闭

Bash -i 是打开一个交互的bash
/dev/tcp是linux中的一个特殊设备，打开这个文件就相当于打开了一个socket调用，建立一个socket连接，读写这个文件就相当于在这个socket连接中传输数据。
监听只需在攻击者执行nc -lvvp 7777即可

服务器监听shell，受害机执行任务

很尴尬的是本次测试环境是处于测试网，测试网的测试机yum源安装nc后居然不能执行lvvp命令，还不出网，又没开ftp服务，所以放弃了，用自己的机器演示一下，大概是这个效果（ip地址改了一下，图片没改，凑合看吧，应该是192.168.31.206）

运行一下 shell

Kali此时已经监听到

所以测试的时候换了个打法（测试机打码了）这里的用意是在测试机开启一个web服务，然后让靶机去读取我的测试机文件，由于文件不存在所以会报404日志，通过日志回显得知是否代码执行成功

去读取测试机的文件，测试机开启一个web服务，而后观察日志
知识点来了
在 Linux 服务器上或安装了 Python 的机器上，可以使用 nohup python -m SimpleHTTPServer [port] & 快速搭建一个http服务。

在 Linux 服务器上或安装了 Python 的机器上，Python自带了一个WEB服务器 SimpleHTTPServer。

我们可以很简单的使用 python -m SimpleHTTPServer 快速搭建一个http服务，提供一个文件浏览的web服务。
https://www.cnblogs.com/lmg-jie/p/9564608.html.

点击执行一次

发现此时日志已经成功返回，由于此文件不存在所以返回404

修复建议

1.将服务平台放置内网，或者隐藏端口
2.将密码设置为强密码
3.开源项目，有条件可以在登录口设置验证，防止爆破情况发生