搜索

[2084] 2018-07-25_WebLogic两处任意文件上传漏洞动态分析（CVE-2018-2894）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-07-25_WebLogic两处任意文件上传漏洞动态分析（CVE-2018-2894） W e b L o g i c   两 处 任 意 文 件 上 传 漏 洞 动 态 分 析 （ C V E - 2 0 1 8 - 2 8 9 4 ） I v a n   d o t N e t 安 全 研 究 僧   2 0 1 8 - 0 7 - 2 5 0 x 0 1   前 言 前 言 C N C E R T 前 几 天 发 公 告 称 发 现 O r a c l e 公 司 出 品 的 基 于 J a v a E E 结 构 的 中 间 件 W e b L o g i c 产 品 存 在 一 个 远 程 上 传 漏 洞 ， 并 得 到 了 厂 商 的 确 认 ， 危 害 程 度 评 分 高 达 9 . 8 分 。 鉴 于 厂 商 已 进 行 了 安 全 修 复 ， 笔 者 对 该 漏 洞 进 行 了 一 次 分 析 。 W e b L o g i c 管 理 端 未 授 权 的 两 个 页 面 存 在 任 意 上 传 g e t s h e l l 漏 洞 ， 可 直 接 获 取 权 限 。 两 个 页 面 分 别 为 / w s _ u t c / b e g i n . d o ， / w s _ u t c / c o n f i g . d o ； 漏 洞 的 影 响 范 围 O r a c l e   W e b L o g i c S e r v e r ， 版 本 1 0 . 3 . 6 . 0 ， 1 2 . 1 . 3 . 0 ， 1 2 . 2 . 1 . 2 ， 1 2 . 2 . 1 . 3 ； 相 关 链 接 ： h t t p : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / c p u j u l 2 0 1 8 - 4 2 5 8 2 4 7 . h t m l # A p p e n d i x F M W     下 文 笔 者 从 这 两 个 文 件 入 手 来 系 统 调 试 跟 踪 找 出 漏 洞 产 生 的 原 理 和 位 置 。 0 x 0 2   漏 洞 流 程 漏 洞 流 程 笔 者 首 先 访 问 了 一 下   h t t p : / / I P / w s _ u t c / c o n f i g . d o     并 且 将 默 认 的 目 录 W S T e s t P a g e W o r k D i r 修 改 了 为 u s e r _ p r o j e c t s d o m a i n s b a s e _ d o m a i n t m p s d   如 下 图 工 作 台 设 置 一 个 新 的 目 录 后 ， w e b l o g i c 会 将 原 来 目 录 下 的 子 目 录 和 文 件 一 起 转 移 到 新 设 定 的 目 录 下 ， 但 旧 的 目 录 依 然 保 留 。 因 为 不 是 重 点 ， 笔 者 对 这 块 的 分 析 就 此 略 过 。 笔 者 从 攻 击 者 的 维 度 简 单 的 画 了 一 个 草 图 ， 最 初 攻 击 者 肯 定 需 要 配 置 工 作 目 录 ， 因 为 默 认 的 工 作 目 录 在 U R L 访 问 的 时 候 不 可 达 ， 然 后 攻 击 者 考 虑 是 从 c o n f i g . d o 页 面 上 传 k e y s t o r e 文 件 还 是 从 b e g i n . d o 上 传 ， 最 终 都 是 成 功 上 传 小 马 ， 只 是 小 马 的 访 问 格 式 和 路 径 不 尽 相 同 。 如 下 图
如 果 要 从 原 理 上 彻 底 搞 清 楚 w e b l o g i c 漏 洞 产 生 的 过 程 还 需 要 看 下 图 ， 简 单 的 描 述 一 下 ， 攻 击 者 开 始 攻 击 后 ， W e b l o g i c 在 服 务 端 做 了 很 多 的 判 断 ， 如 果 设 定 了 新 的 工 作 目 录 ， 那 么 程 序 会 自 动 拷 贝 所 有 旧 目 录 下 的 子 目 录 和 文 件 到 新 的 设 定 目 录 里 ， 并 且 设 定 新 的 目 录 作 为 工 作 目 录 ， 如 果 攻 击 者 通 过 b e g i n . d o 上 传 的 话 ， W e b l o g i c 在 服 务 端 会 判 断 有 没 有 u p l o a d 目 录 ， 如 果 不 存 在 会 自 动 创 建 ， 再 接 着 在 u p l o a d 目 录 下 创 建 R s _ U p l o a d _ 格 式 化 后 的 作 为 目 录 名 ， 紧 接 着 获 取 到 i m p o r t _ f i l e _ n a m e 字 段 名 作 为 后 续 的 文 件 名 拼 接 的 一 部 分 ； 如 果 通 过 c o n f i g . d o 上 传 的 话 就 获 取 G E T 请 求 中 的 t i m e s t a m p 参 数 作 为 后 续 w e b s h e l l 的 文 件 名 中 的 一 部 分 ， 还 是 看 下 图 吧 ： 0 x 0 3   b e g i n . d o 页 面 上 传 漏 洞 页 面 上 传 漏 洞 首 先 在 I D E 里 搭 建 好 W e b L o g i c 环 境 ， 把 应 用 跑 起 来 后 点 击 页 面 右 上 方 的 文 件 夹 按 钮 ， 这 里 实 现 的 是 一 个 导 入 的 功 能   选 择 任 意 文 件 上 传 ， 笔 者 选 择 上 传 j s p 文 件 抓 取 数 据 包 可 以 看 到 其 实 真 正 存 在 上 传 漏 洞 的 地 址 是 h t t p : / / I P : 7 0 0 1 / w s _ u t c / r e s o u r c e s / w s / c o n f i g / i m p o r t ? t i m e s t a m p = 1 5 3 2 4 0 3 9 8 3 7 7 9 因 为 是 漏 洞 复 现 和 分 析 ， 笔 者 一 边 上 传 的 时 候 就 一 边 把 数 据 包 抓 取 下 来 ， 得 到 下 图 的 H T T P
这 段 没 什 么 可 说 的 就 是 一 个 简 单 的 上 传 数 据 流 ， 表 单 字 段 i m p o r t _ f i l e _ n a m e 是 关 键 值 ， 从 产 品 防 御 的 角 度 来 看 检 测 它 们 也 是 关 键 的 特 征 之 一 。 接 下 来 就 需 要 在 I D E 里 动 态 定 位 到 漏 洞 的 触 发 点 ， 因 为 w e b l o g i c 大 多 数 漏 洞 都 和 T 3 协 议 有 关 联 ， 根 据 之 前 分 析 过 的 w e b l o g i c 漏 洞 定 位 的 调 试 断 点 是 在 c o m . b e a . c o r e . w e b l o g i c . r m i . c l i e n t _ 4 . 0 . 0 . 0 . j a r 包 里 ， 多 次 调 试 后 一 步 步 跳 转 到 了 漏 洞 触 发 的 核 心 包 并 且 查 到 了 对 应 的 触 发 漏 洞 类 名 的 位 置 ： c o m o r a c l e w e b s e r v i c e s t e s t c l i e n t w s u t i l R S D a t a H e l p e r . c l a s s 定 位 到 的 方 法 c o n v e r t F o r m D a t a M u l t i P a r t ， 代 码 如 下 ： 代 码 中 检 查 了 当 前 工 作 目 录 下 是 否 存 在 u p l o a d 目 录 ， 如 果 没 有 的 话 则 创 建 ， 并 且 调 用 了 c l e a n O b s o l e t e F i l e 方 法 强 制 遍 历 了 一 次 目 录 中 所 有 的 文 件 ， 并 且 发 现 文 件 就 删 除 掉 ， 调 试 过 程 如 下 图
再 创 建 了 一 个 以 字 符 串 R s _ U p l o a d _ 打 头 的 加 格 式 化 后 的 时 间 命 名 的 目 录 ， 并 且 作 为 上 传 文 件 保 存 的 目 录 。 接 下 来 程 序 获 得 了 上 传 的 表 单 的 f o r m - d a t a   ,   经 过 循 环 遍 历 获 取 了 所 有 的 表 单 字 段 和 对 应 的 v a l u e ， 数 据 做 两 块 存 储 ， 一 块 保 存 在 k v M a p 集 合 中 、 获 取 的 附 件 通 过 s a v e A t t a c h e F i l e 方 法 保 存 到 磁 盘 中 ， 代 码 如 下
下 图 红 圈 处 是 拼 接 后 的 物 理 路 径 名 接 着 追 踪 调 试 到   e x e c u t e 方 法 ， 位 于 I m p o r t T e s t C a s e A c t i o n . c l a s s 类 u s e r _ p r o j e c t s d o m a i n s b a s e _ d o m a i n s e r v e r s A d m i n S e r v e r t m p _ W L _ i n t e r n a l c o m . o r a c l e . w e b s e r v i c e s . w l s . w s - t e s t c l i e n t - a p p - w l s _ 1 2 . 1 . 3 c m p r q 0 w a r W E B - I N F l i b w s - t e s t p a g e - i m p l . j a r ! c o m o r a c l e w e b s e r v i c e s t e s t c l i e n t w s a c t i o n I m p o r t T e s t C a s e A c t i o n . c l a s s
由 于 笔 者 导 入 的 文 件 格 式 以 及 数 据 并 非 w e b l o g i c 能 处 理 的 ， 所 以 程 序 在 c o n t e x t . c r e a t e U n m a r s h a l l e r 方 法 处 抛 出 空 指 针 异 常 的 错 误 ， 这 就 导 致 了 上 传 成 功 后 R e s p o n s e 的 状 态 码 是 5 0 0 ， 这 也 可 以 作 为 防 御 产 品 检 测 的 特 征 之 一 。 动 态 调 试 异 常 如 下 图 到 此 b e g i n . d o 页 面 未 授 权 访 问 引 起 的 任 意 文 件 上 传 漏 洞 已 经 很 明 朗 ， 防 御 的 策 略 可 以 检 测 表 单 字 段 0 x 0 4   c o n f i g . d o 页 面 上 传 漏 洞 页 面 上 传 漏 洞
访 问   h t t p : / / I P : 7 0 0 1 / w s _ u t c / c o n f i g . d o 页 面 后 点 击 左 侧 的 “ 安 全 ” 菜 单 ， 添 加 一 个 K e y s t o r e ， 任 意 设 置 名 字 和 密 码 ， 当 然 文 件 也 是 任 意 格 式 上 传 ， 这 里 真 的 很 随 意 。 点 击 提 交 后 ， 抓 取 触 发 地 址 ：   h t t p : / / I P / w s _ u t c / r e s o u r c e s / s e t t i n g / k e y s t o r e ? t i m e s t a m p = 1 5 3 2 4 0 0 0 6 9 8 4 8 ;   抓 取 的 包 如 下 和 之 前 的 套 路 一 样 ， 上 传 的 时 候 就 已 经 打 开 了 I D E 调 试 功 能 ， 断 点 后 还 是 定 位 到 R S D a t a H e l p e r . c l a s s   文 件 ， 如 下 图
这 次 获 取 的 表 单 字 段 是 k s _ f i l e n a m e ， 值 得 收 藏 ， 加 入 特 征 检 测 范 畴 内 ； 再 跟 进 看 下 关 键 的 s h e l l 生 成 那 一 步 上 传 后 的 s h e l l 位 于 工 作 台 配 置 的 目 录 下 的 / c o n f i g / k e y s t o r e / 目 录 中 ， 文 件 名 的 格 式 相 对 来 说 简 单 ， 采 用 了 P O S T 请 求 中 U R L 地 址 上 携 带 的 参 数 t i m e s t a m p 的 值 加 上 下 划 线 拼 接 起 来 的 文 件 名 ， 让 笔 者 大 跌 眼 镜 的 是 w e b l o g i c 作 为 知 名 软 件 提 供 商 存 在 这 样 低 级 的 漏 洞 实 在 匪 夷 所 思 ， 再 加 上 其 一 系 列 的 反 序 列 化 绕 过 漏 洞 ， 只 能 说 w e b l o g i c 的 产 品 能 不 用 就 不 用 ， 实 在 不 行 少 用 为 妙 。 0 x 0 5   防 御 措 施 防 御 措 施   1 .       设 置 C o n f i g . d o 、 b e g i n . d o 页 面 登 录 授 权 后 访 问 ；
2 .       I P S 等 防 御 产 品 可 以 加 入 相 应 的 特 征 ； 3 .       升 级 到 官 方 最 新 版 本 ；   0 x 0 6 参 考 链 接 参 考 链 接 h t t p s : / / w w w . s e c r s s . c o m / a r t i c l e s / 4 0 0 8 h t t p : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / c p u j u l 2 0 1 8 - 4 2 5 8 2 4 7 . h t m l # A p p e n d i x F M W
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理