红队攻防实战之Weblogic-RCE集锦

须知少时凌云志,曾许人间第一流

WebLogic未认证RCE

绕过漏洞

访问以下URL,未授权访问到管理后台页面(低权限的用户):

红队攻防实战之Weblogic-RCE集锦_第1张图片

发现我们现在是低权限的用户,无法安装应用,所以组合下面的漏洞可以继续利用

代码执行漏洞

结合绕过漏洞,远程攻击者可以构造特殊的HTTP请求,在未经身份验证的情况下接管 WebLogic Server Console ,并在 WebLogic Server Console 执行任意代码。

远程命令执行方法一

利用com.tangosol.coherence.mvel2.sh.ShellSession执行命令:(利用DNSLOG)

红队攻防实战之Weblogic-RCE集锦_第2张图片

成功执行:

红队攻防实战之Weblogic-RCE集锦_第3张图片

远程命令执行方法二(通用性高)

首先需要构造一个XML文件,并将其保存

红队攻防实战之Weblogic-RCE集锦_第4张图片

然后通过如下URL,即可让Weblogic加载这个XML,并执行其中的命令:

成功执行:

红队攻防实战之Weblogic-RCE集锦_第5张图片

收到响应

红队攻防实战之Weblogic-RCE集锦_第6张图片

Weblogic XMLDecoder反序列化漏洞

访问如下链接,存在下图则说明可能存在漏洞

红队攻防实战之Weblogic-RCE集锦_第7张图片

工具检测

image-20231211104152741

反弹shell

发送如下数据包(注意其中反弹shell的语句,需要进行编码,否则解析XML的时候将出现格式错误):

红队攻防实战之Weblogic-RCE集锦_第8张图片

成功获取shell:

红队攻防实战之Weblogic-RCE集锦_第9张图片

写入webshell

成功输出内容。

image-20231211092424922

Weblogic SSRF漏洞

测试该漏洞。访问一个可以访问的IP:PORT,如http://127.0.0.1:80

可访问的端口将会得到错误,一般是返回status code(如下图),如果访问的非http协议,则会返回did not have a valid SOAP content-type

红队攻防实战之Weblogic-RCE集锦_第10张图片

修改为一个不存在的端口,比如 http://127.0.0.1:7000将会返回could not connect over HTTP to server

红队攻防实战之Weblogic-RCE集锦_第11张图片

通过错误的不同,即可探测内网状态。

Weblogic WLS Core Components 反序列化命令执行漏洞

直接运行下述命令即可(自行替换IP和端口)

红队攻防实战之Weblogic-RCE集锦_第12张图片

上图中最后一行Getshell

image-20231211092925020

上传shell

方式一:

红队攻防实战之Weblogic-RCE集锦_第13张图片

得到Shel

方式二:

红队攻防实战之Weblogic-RCE集锦_第14张图片

执行shell

输入Shell

image-20231211093921719

Weblogic 部署war包Getshell

爆破弱口令

image-20231211094034564

任意文件读取漏洞的利用

可见成功读取passwd文件。

红队攻防实战之Weblogic-RCE集锦_第15张图片

读取后台用户密文与密钥文件

访问

红队攻防实战之Weblogic-RCE集锦_第16张图片

全局配置文件

红队攻防实战之Weblogic-RCE集锦_第17张图片

解密密文

可见,解密后的密码和暴力破解的密码一致,说明成功。

红队攻防实战之Weblogic-RCE集锦_第18张图片

后台上传webshell

获取到管理员密码后,登录后台。点击左侧的部署,可见一个应用列表:

红队攻防实战之Weblogic-RCE集锦_第19张图片

点击安装,选择“上载文件”:

红队攻防实战之Weblogic-RCE集锦_第20张图片

然后选择制作好的 war 木马文件包,点击下一步:

红队攻防实战之Weblogic-RCE集锦_第21张图片

一直下一步(这里注意点击的是上边的下一步,不要点错了):

然后点击完成

红队攻防实战之Weblogic-RCE集锦_第22张图片

保存

红队攻防实战之Weblogic-RCE集锦_第23张图片

部署完成

使用webshell进行命令执行:ifconfig

红队攻防实战之Weblogic-RCE集锦_第24张图片

Weblogic base_domain任意文件上传漏洞

console界面用账号密码登陆

登录后台页面,点击base_domain的配置,点击高级

红队攻防实战之Weblogic-RCE集锦_第25张图片

在“高级”中开启“启用 Web 服务测试页”选项:

红队攻防实战之Weblogic-RCE集锦_第26张图片

访问,设置Work Home Dir

红队攻防实战之Weblogic-RCE集锦_第27张图片

然后点击安全 -> 增加,然后上传webshell:

红队攻防实战之Weblogic-RCE集锦_第28张图片

上传后,查看返回的数据包,其中有时间戳:

红队攻防实战之Weblogic-RCE集锦_第29张图片

然后蚁剑连接,即可执行webshell:

image-20231211093439922

文笔生疏,措辞浅薄,望各位大佬不吝赐教,万分感谢。

免责声明:由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失,均由使用者本人负责, 文章作者不为此承担任何责任。

转载声明:各家兴 拥有对此文章的修改和解释权,如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经作者允许,不得任意修改或者增减此文章的内容,不得以任何方式将其用于商业目的。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号:
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区:
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf:
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85


你可能感兴趣的:(0.红队攻防,#,1.,红队实战,1.web攻防,网络,java,安全,web安全,activemq,redis)