Weblogic上传漏洞在不知绝对路径情况下拿shell方法 | 干货
2023-11-18 22:38:38 Author: 渗透安全团队(查看原文) 阅读量:15 收藏

 Part1 前言 

大家好,我是ABC_123。Weblogic曾经爆出一个上传漏洞,漏洞编号是CVE-2018-2894,这个漏洞利用起来稍微有点麻烦,很多朋友由于不知道绝对路径而没法上传shell,从而放弃对其的进一步利用,ABC_123曾经搭环境尝试了各种方法去解决这个问题,接下来给出自己的研究成果。

 Part2 技术研究过程 

  • 上传漏洞利用步骤及分析

首先复习一下weblogic上传漏洞利用过程,一般情况下,存在上传漏洞的页面是/ws_utc/config.do,在“Work Home Dir”处会自带一个绝对路径,一般是/u01/oracle/user_projects/domains/base_domain/tmp/WSTestPageWorkDir,然后可以结合上述路径更改为如下路径,接着上传jsp文件获取一个webshell。

/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

上传成功之后,根据返回的网页源码,将jsp的webshell的时间戳与相对路径结合,就可以得到webshell的完整URL地址了。

但是我们经常遇到的情况是“当前的工作目录”是空的,或者是被其它攻击者给随意更改成错误的路径,导致不知道绝对路径导致上传webshell失败,那如何解决这个问题呢?

首先我们做一下尝试,将绝对路径更改为以servers/开头的相对路径,发现也是可以上传成功的。通过试验我们发现,此处仅需要知道servers/开头的相对路径即可,这在一定程度上,降低了getshell的难度。

servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css

这里需要注意的是,上述路径中/AdminServer/在不同的weblogic安装环境中可能不一样的,它可能是/Server-0/或者/app_server1/,它可能是管理服务器名称,也可能是被管服务器(MS)名称

路径中的/4mcj4y/值也不是固定的,它是由/AdminServer/结合另一个变量计算出来的,所以我们只需要知道/AdminServer/处的值就好办了。如下图所示,github上有很多通过当前weblogic服务器名称计算出该值的脚本程序。

  • IIOP协议获取相对路径

经过研究发现,如果目标weblogic端口的iiop协议开放的话,直接向iiop协议端口7001或者其它端口发送一个数据包,在返回数据包中就会有获取相对路径最关键的服务器实例名称(此处是AdminServer)。

知道了AdminServer这个值,就可以使用脚本计算出完整的相对路径了,就可以上传webshell了。

  • 通过报错泄露路径

通过报错的方法,也可以不断获取完整的绝对路径,这种方法有时候能成功,有时候不能成功,我也没深入研究为什么。这个方法实测效果不太好,但是有时候可以作为探测目标绝度路径是否存在的一种方法。在“Work Home Dir”处填入“servers”,然后点击提交,会弹出一个报错页面,其中就会泄露一部分绝对路径。

  • XXE漏洞获取weblogic的绝对路径

经过仔细观察发现,此上传漏洞的编号是CVE-2018-2894,在CVE-2018-2894编号附近,有一个XXE漏洞CVE-2018-3246,因为两个漏洞编号相近,所以两个漏洞理论上会同时存在。因此如果目标环境出网的情况下,我们通过这个XXE漏洞获取到weblogic的路径,然后再利用上传漏洞获取webshell。

 Part3 总结 

本文中ABC_123给出了3种方法,各有优缺点,实战中结合起来用,基本上可以搞定这个上传漏洞的利用。

方法1:报错获取绝对路径,缺点是不一定每次都能报错,而且有时候报错出来的路径不全。

方法2:IIOP协议可以获取AdminServer,但是目标weblogic端口必须没有屏蔽IIOP协议。

方法3:XXE漏洞获取绝对路径,但是目标weblogic必须得能够出网。


付费圈子

欢 迎 加 入 星 球 !

代码审计+免杀+渗透学习资源+各种资料文档+各种工具+付费会员

进成员内部群

星球的最近主题和星球内部工具一些展示

加入安全交流群

                               

关 注 有 礼

关注下方公众号回复“666”可以领取一套领取黑客成长秘籍

 还在等什么?赶紧点击下方名片关注学习吧!


干货|史上最全一句话木马

干货 | CS绕过vultr特征检测修改算法

实战 | 用中国人写的红队服务器搞一次内网穿透练习

实战 | 渗透某培训平台经历

实战 | 一次曲折的钓鱼溯源反制

免责声明
由于传播、利用本公众号渗透安全团队所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号渗透安全团队及作者不为承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉。谢谢!
好文分享收藏赞一下最美点在看哦

文章来源: http://mp.weixin.qq.com/s?__biz=MzkxNDAyNTY2NA==&mid=2247512092&idx=1&sn=c93bf69350aad9a18ba3ee2396dd552c&chksm=c1764db3f601c4a5586deb399a872e416f139e148c5d194396ab0743099a73f35f1873a33244&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh