¿virus en jboss?

alguna vez me pasó algo así. No sé si es una vulnerabilidad directamente en JBoss, o en Apache o qué. Yo no encontré wars pero sí unos jsp's medio raros que servían como punto de entrada para cargar unos scripts de php. Qué versión de JBoss tienes? a mi me pasó creo que con la 4.0.5

Es probable que sea un intento de explotar alguna vulverabilidad del sistema

Existen muchos tipos de vulnerabilidades, por ejemplo las más conocidas con SQL Injection, donde el usuario escribe un comando en el campo de "login" o "password" sabiendo que eso se va a ejecutar contra la base de datos ( para más info ver xkcd Bobby tables ) XSS ( corss site scripting ) donde se ingresa un código JavaScript con un fin similar y así hay varios más.

No necesariamente es un virus.

Para saber más al respecto consulta esta página ( ) y haznos un favor, cuando encuentres de que se trata escribe en tu blog lo que aprendiste.

Ahora viendo con más cuidado tu log   más bien parece que así es como está tu código, entonces lo que deberías de hacer es revisar con más atentción lo que tu código esta tratando de hacer.

Saludos.

Oscar, no es un codigo que yo haya hecho pero si esta punk

Enrique: tengo Jboss 4.2.1 y para compartirles la experiencia es un jsp que ejecuta lo siguiente, ojo, aguas con la mala intencion esto solo lo pongo con fines de compartir que onda. El jsp zmeu contiene lo siguiente
 
y lo que quiso hacer es primero bajar un archivo despues ejecutarlo con perl y depues borrar todo para mi buena suerte tengo windows como SO y no estaba utilizando Linux

Básicamente lo que está diciendo es que un WAR que no puse yo quiso ejecutar un proceso

Pero los borro( los wars) y siguen apareciendo despues de un tiempo

Si alguien me ayuda gracias

Ahhh pues esto es un triple tache:

Lo que dice es: "Ejecute aquí cualquier comando ( incluso borrar el archivos )"

Lo de suerte que es Windows pueeeeees... digamos que es cuestión de tiempo ( ejem, erase 11.txt en vez de rm 11.txt )

Así que NO es un bug, es una omisión de tu parte ( lo bueno es que ahora lo sabes )

Específicamente lo que estás haciendo esta descrito aquí:

Creo que no has entendido el punto. Ese JSP no lo hizo el autor de este post, "apareció" en su JBoss. La idea de ese script es crear el proceso que diga el parámetro comment, ejecutarlo y todo lo que salga de su STDOUT imprimirlo en la página resultante.

Creo que sí era esa versión, 4.2, donde tuve una bronca similar, nomás que los JSP que yo encontré tenían ya el comando fijo, un wget y un perl. Y creo creo que la bronca es cuando no proteges la consola de JBoss (nosotros nos confiamos porque no es visible directamente porque estaba JBoss atrás de un Apache pero pues de alguna forma le encontraron para meter esos archivos ahí, nunca supe bien si fue vulnerabilidad de JBoss o de Apache).

Enrique entonces ¿crees que con una actualizacion de Jboss quede solucionado ? por ejemplo jboss 5 algo asi; mi consola si la tengo configurada para que pida un usuario y contraseña

¿Recuerdas como solucionaron el problema cuando se te presento?

Gracias

La solución que aplicaron en mi caso fue reinstalar todo el sistema operativo, porque no sabíamos a qué grado estaba comprometido ya. No sé si con eso instalaron un JBoss más nuevo, pero creo que la bronca en este caso era más bien con Apache, que sí lo actualizaron y no volvimos a tener el problema.