你要搞清楚自己人生的剧本——不是你父母的续集,不是你子女的前传,更不是你朋友的外篇。对待生命的一部分,大胆勇敢一点,因为你好歹要失去它。如果这世界上真有奇迹,那只是努力的另一个名字。生命中最难的阶段不是没有人懂你,而是你不懂你自己。 ——尼采
漏洞描述
CVE-2019-2725是一个Oracle weblogic反序列化远程命令执行漏洞,这个漏洞依旧是根据weblogic的xmldecoder反序列化漏洞,通过针对Oracle官网历年来的补丁构造payload来绕过。可以看做是CVE-2017-10271的又一入口。
环境搭建
weblogic漏洞使用vulhub搭建,版本为10.3.6
poc服务器为Windows10 phpstudy
phpstudy上提前上传大马 JspSpy.jsp
影响范围
10.3.*
12.1.3
受影响的组件
bea_wls9_async_response.war
wsat.war
漏洞复现
使用Vulhub搭建漏洞环境,版本(10.3.6.0),访问验证:
受影响的页面
/_async/AsyncResponseService
访问