【Weblogic】反序列化远程代码执行漏洞(CVE-2019-2725)

你要搞清楚自己人生的剧本——不是你父母的续集，不是你子女的前传，更不是你朋友的外篇。对待生命的一部分，大胆勇敢一点，因为你好歹要失去它。如果这世界上真有奇迹，那只是努力的另一个名字。生命中最难的阶段不是没有人懂你，而是你不懂你自己。         ——尼采

漏洞描述

CVE-2019-2725是一个Oracle weblogic反序列化远程命令执行漏洞，这个漏洞依旧是根据weblogic的xmldecoder反序列化漏洞，通过针对Oracle官网历年来的补丁构造payload来绕过。可以看做是CVE-2017-10271的又一入口。

环境搭建

weblogic漏洞使用vulhub搭建，版本为10.3.6

poc服务器为Windows10 phpstudy

phpstudy上提前上传大马 JspSpy.jsp 

影响范围

10.3.*
12.1.3

受影响的组件 

bea_wls9_async_response.war
wsat.war

漏洞复现

 使用Vulhub搭建漏洞环境，版本（10.3.6.0），访问验证：

 受影响的页面

/_async/AsyncResponseService

访问