Weblogic漏洞Java反序列化CVE-2015-4852解析

)

1：概述

1.1：官方概述

The WLS Security component in Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, and 12.2.1.0 allows remote attackers to execute arbitrary commands via a crafted serialized Java object in T3 protocol traffic to TCP port 7001, related to oracle_common/modules/com.bea.core.apache.commons.collections.jar. NOTE: the scope of this CVE is limited to the WebLogic Server product.

1.2：漏洞概述

虽说是weblogic的漏洞但是该漏洞的原理是org.apache.commons.collections组件存在潜在的远程代码执行漏洞，应用的是java的反序列化部分机制的问题。在Java反序列化中，对于传入的序列化数据没有进行安全性检查，将恶意的TransformedMap序列化，可能会导致远程命令执行。

2：漏洞原理分析

2.1：基本概念

什么是commons-collections组件：Java commons-collections是JDK 1.2中的一个主要新增部分。它添加了许多强大的数据结构，可以加速大多数重要Java应用程序的开发。从那时起，它已经成为Java中公认的集合处理标准。
Apache Commons Collections是一个扩展了Java标准库里的Collection结构的第三方基础库，它提供了很多强有力的数据结构类型并且实现了各种集合工具类。作为Apache开源项目的重要组件，Commons Collections被广泛应用于各种Java应用的开发。
Commons Collections API

2.2：漏洞代码审计

2.2.1：反射漏洞利用

1：这次我们这样去理解这个漏洞吧，我先找了一份网上的POC；大家请看

然后我们跟着这个POC的调用流程，去看看这个漏洞的具体利用吧；

1.1：首先我们看黄色部分：这里构造了一个Transformer数组