CVE-2018-2894 Weblogic 任意文件上传漏洞

漏洞简介

漏洞搭建

这里使用vulfocus进行复现。

访问http://192.168.146.167:22911/console/login/LoginForm.jsp，搭建成功。

漏洞复现

访问http://192.168.146.167:22911/ws_utc/login.do，发现需要登录，作罢。

访问http://192.168.146.167:22911/ws_utc/config.do，发现不需要登录，从这里下手。

将当前的工作目录更改为 /u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css。

点击安全->添加，然后上传哥斯拉的木马文件，进行提交。

由于上传后的文件名字是[时间戳_文件名字]的形式的，所以需要抓包查看他的时间戳。

访问上传后的文件，查看是否存在http://192.168.146.167:22911/ws_utc/css/config/keystore/1671089339633_1.jsp。

这里发现确实存在。

然后使用哥斯拉进行连接，连接成功。

flag存放在/tmp目录下。

 <?xml version="1.0" encoding="UTF-8"?>
 <setting id="security">
 <section name="key_store_list">
 <options xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="securityOptions">
 <keyStoreItem>
 <id>1671110657638</id>
 <name>test</name>
 <keyStore>1.jsp</keyStore>
 <password>123</password>
 </keyStoreItem></options>
 </section></setting>
 ​