Web Weblogic wls9-async反序列化远程代码执行漏洞(CVE-2019-2725)

Web Weblogic wls9-async反序列化远程代码执行漏洞(CVE-2019-2725)
1.漏洞说明
1.1 描述：部分版本WebLogic中默认包含的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意 HTTP 请求，获得目标服务器的权限，在未授权的情况下远程执行命令。
1.2 受影响版本 WebLogic 10.X
WebLogic 12.1.3
2.防护方式
2.1 防火墙更新到最新规则库，做好策略即可防护此类攻击。
2.2 删除war文件及相关文件夹，并重启Weblogic服务。
2.3 有新版本后更新到最新版本，目前10.X版本有补丁，12.1.3无官方补丁
3.实验环境
3.1 靶机环境
靶机系统 Windows 7
JDK版本 jdk 1.6.0
Weblogic版本 10.3.6 点击下载
3.2 攻击机环境
攻击机系统 Windows 10
Burp Suite Editions 免费版 点击下载
4.攻击步骤及效果
4.1 Weblogic的搭建，搭建过程中要注意JDK版本（Weblogic使用的JDK是否在环境变量里配置好），搭建过程参考网上，