漏洞简介
Oracle 7月更新中，修复了Weblogic Web Service Test Page中一处任意文件上传漏洞，Web Service Test Page 在“生产模式”下默认不开启，所以该漏洞有一定限制。
利用该漏洞，可以上传任意jsp文件，进而获取服务器权限。
影响版本
12.1.3.0, 12.2.1.2, 12.2.1.3
漏洞环境搭建
执行如下命令，启动weblogic 12.2.1.3：
Oracle 7月更新中，修复了Weblogic Web Service Test Page中一处任意文件上传漏洞，Web Service Test Page 在“生产模式”下默认不开启，所以该漏洞有一定限制。
利用该漏洞，可以上传任意jsp文件，进而获取服务器权限。
影响版本
12.1.3.0, 12.2.1.2, 12.2.1.3
漏洞环境搭建
执行如下命令，启动weblogic 12.2.1.3：
docker-compose up -d
环境启动后，访问http://yuor-ip:7001/console,即可看到后台登录页面。
执行如下命令，查看用户及登录密码
docker-compose logs | grep password
漏洞复现
登录后台页面，点击base_domain的配置，在“高级”中开启“启用 Web 服务测试页”选项：
访问http://your-ip:7001/ws_utc/config.do，设置Work Home Dir为
/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css将目录设置为ws_utc应用的静态文件css目录，访问这个目录是无需权限的
然后点击安全 -> 增加，然后上传webshell：
上传后，查看返回的数据包，其中有时间戳，然后访问http://your-ip:7001/ws_utc/config/keystore/[时间戳]_[文件名]，即可执行webshell：
修复建议
- 开启生产模式
- 设置config.do，begin.do页面登录授权后访问
- IPS等防御产品可以加入相应的特征
- 升级到官方的最新版本
原文始发于微信公众号（巢安实验室）：Weblogic任意文件上传漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论