基于vulhub平台的JAVAEE中间件weblogic漏洞CVE17-10271复现及修复建议

1，漏洞介绍

2，反弹shell利用执行

 

 

壹   漏洞介绍

CVE17-10271漏洞全程是

Weblogic < 10.3.6 'wls-wsat' XMLDecoder 反序列化漏洞

 

weblogic是WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。

————百度百科

Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。

要是浏览web界面:your_ip7001/wls-wsat/CoordinatorPortType11显示这个界面就说明可能存在CVE17-102712漏洞

我们这里使用反弹shell的bash命令在目标主机上进行执行，将