漏洞总结:Quartz 反序列化导致远程代码执行 (RCE) 漏洞概述 DataEase 官方镜像中内置的 依赖了存在反序列化漏洞的 库。攻击者可通过 SQL 注入将恶意序列化数据写入 Quartz 的 表中,当 Quartz 定时任务触发反序列化时,利用 链执行任意命令。 影响范围 受影响版本:DataEase <= 2.10.21 受影响组件: (Maven) 修复版本:2.10.21 修复方案 建议将 DataEase 升级至 v2.10.21 或更高版本。 利用代码 (POC) Step 1: 启动攻击者服务器 Step 2: 获取 Payload 并通过 SQL 注入注入到 Quartz Step 3: 在攻击者侧启动监听 Step 4: 等待 6 分钟触发任务 等待 Quartz 任务触发,执行反向 Shell。 Step 5: 恢复原始 JOB_DATA (清理) Step 6: 清理数据源**