今天早上，我从审计人员那里得到了我们的jboss服务器的扫描结果，我们需要解决三个重要的问题，但老实说，我一直在googlesearch，没有发现任何东西。 如果有人知道或有任何线索如何解决，我将不胜感激。 我们正在运行jboss 5.0.1（windows 2003 x64）
扫描漏洞
.- JBoss HttpAdaptor JMXInvokerServlet is Accessible to Unauthenticated Remote Users .- JBoss EJBInvokerServlet is Accessible to Unauthenticated Remote Users. .- TLS Protocol Session Renegotiation Security Vulnerability 提前致谢。
HTTP：// yourservernamehere：8080 /调用/ EJBInvokerServlet
如果你已经离开了你的configuration，上面是可用的，你有一个问题。
你不想这样做的原因很明显，它允许任何人调用他们想要的系统上的任何servlet。
简短的回答是，在你的web.xml中find并禁用它。
一个关于为什么的Tomcat特定文章： http : //www.astrahosting.com/blog/2009/09/16/chapter-14-tomcat-security-disabling-an-invoker-servlet/
JBoss的默认值是非常不安全的，而且是一个非常痛苦的屁股（很多文件需要触摸，而糟糕的文档遍布在一系列网站上）。 这比IIS的第一个版本早在20世纪90年代中期就差了。
恕我直言，它永远不应该直接暴露在互联网上 – 这太容易搞砸了，你永远不知道什么时候升级将引入一个新的开放的世界“function”。
因此，要locking它，请在其前放一个代理，并只传递您希望世界可以看到的应用程序URL模式。 我们使用nginx作为Linux上与Windows x64上的JBoss服务器通信的代理，但是在这方面有很多select。 在这种情况下，即使是IIS7上的ARR也能正常工作。