Weblogic 任意文件上传漏洞（CVE-2018-2894）

0x01 简介

Oracle 7月更新中，修复了Weblogic Web Service Test Page中一处任意文件上传漏洞，Web Service Test Page 在“生产模式”下默认不开启，所以该漏洞有一定限制。
利用该漏洞，可以上传任意jsp文件，进而获取服务器权限。

0x02 影响版本

weblogic 10.3.6.0
weblogic 12.1.3.0
weblogic 12.2.1.2
weblogic 12.2.1.3

0x03 漏洞复现

1.访问登陆页面，输入账号密码登陆。
点击页面的“base_domain”，在“高级”中开启“启用web服务测试页”选项。

2.访问

http://your-ip:7001/ws_utc/config.do

设置“Work Home Dir为/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css”。我将目录设置为ws_utc应用的静态文件css目录，访问这个目录是无需权限的，重点注意。

3.点击安全 -> 增加，然后上传webshell：

在这里使用bp抓包，设置接受返回包，然后“Forward”发送包。

记录下图中标注的字段内容。

4.最后访问

http://your-ip:7001/ws_utc/css/config/keystore/[字段值]_[文件名]

即可执行webshell：

参考：
https://github.com/vulhub/vulhub/tree/master/weblogic/CVE-2018-2894
https://xz.aliyun.com/t/2458