搜索

[13344] 2018-10-25_看我如何在Weblogic里捡一个XXE（CVE-2018-3246）

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-10-25_看我如何在Weblogic里捡一个XXE（CVE-2018-3246） 看 我 如 何 在 W e b l o g i c 里 捡 一 个 X X E （ C V E - 2 0 1 8 - 3 2 4 6 ） 原 创   黑 客 小 平 哥   F r e e B u f   2 0 1 8 - 1 0 - 2 5 * 本 文 作 者 ： 黑 客 小 平 哥 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 前 言 前 言 前 几 天 空 间 被 前 几 天 空 间 被 C V E - 2 0 1 8 - 2 8 9 4 刷 屏 ， 大 家 也 都 在 研 究 和 复 现 这 个 漏 洞 ， 正 好 我 们 安 全 团 队 也 在 玩 这 个 漏 洞 ， 那 刷 屏 ， 大 家 也 都 在 研 究 和 复 现 这 个 漏 洞 ， 正 好 我 们 安 全 团 队 也 在 玩 这 个 漏 洞 ， 那 大 家 就 一 起 来 玩 咯 。 大 家 就 一 起 来 玩 咯 。   本 次 的 重 点 是 复 现 ， 上 传 本 次 的 重 点 是 复 现 ， 上 传 w e b s h e l l ， 环 境 是 内 部 一 个 测 试 环 境 ， 当 我 使 用 其 中 一 个 上 传 页 ， 环 境 是 内 部 一 个 测 试 环 境 ， 当 我 使 用 其 中 一 个 上 传 页 面 的 时 候 ， 脑 子 突 然 热 了 一 下 ， 把 文 件 后 缀 改 成 了 面 的 时 候 ， 脑 子 突 然 热 了 一 下 ， 把 文 件 后 缀 改 成 了 . x m l ， 结 果 就 很 ， 结 果 就 很 6 了 。 了 。 地 址 如 下 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 3 3 8 / w s _ u t c / b e g i n . d o 。 分 析 分 析 突 然 看 到 了 什 么 ， 报 错 了 ， 但 是 错 误 代 码 里 有 个 “ I n t e r n a l   E x c e p t i o n :   o r g . x m l . s a x . S A X P a r s e E x c e p t i o n ” ， 这 里 竟 然 解 析 x m l 文 件 ， 这 里 说 明 一 下 ， 虽 然 这 里 是 上 传 w e b s h e l l 的 地 方 ， x m l 文 件 貌 似 没 什 么 用 ， 但 是 当 漏 洞 任 意 文 件 上 传 漏 洞 修 复 之 后 ， 这 个 x m l 文 件 是 不 会 禁 止 的 ， 这 里 既 然 解 析 了 x m l 文 件 ， 说 明 这 x m l 文 件 属 于 正 常 文 件 。 此 处 当 然 要 传 个 p a y l o a d 试 下 了 读 下 e t c / p a s s w d ， 发 现 还 是 报 错 ， 无 法 读 取 ：
这 就 完 了 ？ 当 然 不 是 ， 既 然 无 法 读 取 回 显 ， 那 就 换 个 p a y l o a d 反 弹 下 s h e l l 试 试 ： 设 置 本 地 监 听 ： 返 回 包 发 现 执 行 了 p a y l o a d 代 码 ， 并 且 读 取 到 服 务 器 e t c / p a s s w d 文 件 ：
至 此 ， 该 漏 洞 已 经 确 定 存 在 ， 并 将 及 时 报 告 给 官 方 了 ， 2 0 1 8 年 1 0 月 1 6 日 ， 该 漏 洞 已 经 在 o r a c l e 发 布 。 漏 洞 简 要 分 析 ： 漏 洞 简 要 分 析 ： 根 据 路 径 ， 漏 洞 定 位 到 w s - t e s t p a g e - i m p l . j a r 文 件 里 的 “ i m p o r t W s T e s t C o n f i g ” 方 法 ： 代 码 如 下 ：
可 以 发 现 ， 此 处 使 用 的 方 法 为 “ I m p o r t T e s t C a s e A c t i o n ” ， 进 去 看 下 该 方 法 ： 代 码 如 下 ：
U n m a r s h a l l e r 接 口 是 将 X M L 数 据 转 化 为 J a v a 对 象 ， 此 处 是 U n m a r s h a l l e r 使 用 不 当 ， 造 成 X X E ， 值 得 注 意 的 是 ， 经 过 和 同 事 的 不 懈 尝 试 ， 发 现 j d k 8 默 认 禁 止 外 部 D T D 的 ， j d k 6 和 j d k 7 是 可 以 的 ， 而 w e b l o g i c 默 认 的 j d k 是 存 在 该 问 题 的 （ 详 细 版
本 范 围 有 待 进 一 步 考 证 ） 。 D e m o 介 绍 ： 介 绍 ： 此 处 j d k 为 1 . 8 ， 无 法 实 现 X X E ： 此 处 j d k 为 1 . 6 ， 即 可 执 行 ： 本 次 研 究 结 束 ， 欢 迎 大 佬 继 续 研 究 并 指 正 。 * 本 文 作 者 ： 黑 客 小 平 哥 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理