vulfocus[weblogic反序列化]

92 阅读 0 评论 61 点赞

我是靠谱客的博主坚定母鸡，最近开发中收集的这篇文章主要介绍vulfocus[weblogic反序列化]，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

名称: vulfocus/weblogic-cve_2017_10271:latest
描述: Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。Oracle WebLogic Server是其中的一个适用于云环境和传统环境的应用服务器组件。 Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。攻击者发送精心构造的xml数据甚至能通过反弹shell拿到权限。
打开靶场，漏洞肯定是存在得，为了学习，验证一下漏洞存在。如：访问该页面/wls-wsat/CoordinatorPortType，若如下图显示即为存在
在这里插入图片描述
中间还有一些验证性得动作去确定可进行上传文件，上传下马，这里我就不赘述了，参考的是该大佬得文章，非常感谢
直接进行反弹shell
首先抓包，构造payload，有；两个点需要注意，1，post方式上传，2，修改IP
在这里插入图片描述