【第15周】通过t3协议识别Weblogic版本

识别Weblogic版本有什么用呢？

1. 好判断是否在漏洞版本范围

2. 方便构造POC/EXP,（相同漏洞，可能不同版本对应不同POC/EXP，比如CVE-2019-2725）

 0x01 

以前的方法

以前的方法是访问控制台登录页面，页面底部便有版本号。这里注意404页面的10.4.5并不是版本号！

http://*.*.*.*:7001/console/login/LoginForm.jsp

然而这个页面可能会被删除或禁止访问，那有没有其他方法呢？

 0x02 

通过t3协议识别

最近在学习t3协议时，使用wireshark抓包发现，协议报文中带有weblogic的版本。

可以发现只需要通过t3协议发送以下数据包，即可从返回包中获取Weblogic版本。

t3 10.3.6AS: 255HL: 19

这里需要注意，有时候发送数据包时，可能只会返回一个HELLO。这时候说明t3协议应该是开启的，需要多次提交探测包，才可能在某次返回包中成功获取。

下面使用脚本来完成我们的上面的想法，该脚本已经收录到了我的WorkScript项目中。

https://github.com/c0ny1/WorkScripts/

如果未探测成功，可能是以下几种情况：

1. t3协议未启用

2. 服务器做了负载均衡

 0x03 

遗留问题

有些Weblogic站点用的是https协议，得使用t3s协议去探测。我虽然在代码中考虑到了，但是并未识别成功。一是没有现成的环境，二是没有使用t3s协议的经验。等有时间再解决！

本文始发于微信公众号（回忆飘如雪）：【第15周】通过t3协议识别Weblogic版本