WLT3Serial

Exploit de deserialización nativa en Java para listeners T3 (y T3S) de WebLogic (como se describe AQUÍ). Requiere las dependencias de terceros ysoserial y wlthint3client.

Ventajas/Desventajas en comparación con JavaUnserializeExploits weblogic.py y loubia

Ventajas:

• Gestiona la comunicación T3/T3S de forma nativa (para la mayoría de los métodos de explotación) con Java en lugar de usar capturas de paquetes puntuales con scripts de Python, y por lo tanto debería funcionar contra todas las versiones del servidor WebLogic.
• Genera cargas útiles de objetos directamente a través de ysoserial en cada ejecución en lugar de cargas útiles de objetos generadas una sola vez, y por lo tanto soporta todos los tipos de carga útil de objetos en la última versión de ysoserial.
• Analiza (y muestra si se solicita) todas las excepciones lanzadas durante la ejecución, e indica claramente el resultado asumido de la ejecución basándose en estas excepciones. Esto incluye notificar al usuario si la explotación parece ser exitosa, si la comunicación habilitada con SSL/TLS falló, o si el servidor WebLogic objetivo parece estar parcheado contra la explotación.
• Ofrece varios métodos diferentes para la entrega de carga útil (similar tanto a JavaUnserialize weblogic.py/loubia como a ysoserial.exploit.RMIRegistryExploit).

Desventajas:

• Depende de un archivo .jar (wlthint3client.jar) que no puedo distribuir (debido a los términos de licencia de Oracle) y solo se puede descargar con un nombre de usuario/contraseña de Oracle. Debido a esto, solo puedo distribuir un jar de lanzamiento "ligero" que aún requiere que el usuario obtenga el archivo wlthint3client.jar necesario de Oracle.
• Debido a problemas con cómo la JVM carga las clases durante la inicialización, ya no se admite el uso de un archivo jar ejecutable todo en uno de WLT3Serial (WLT3Serial-full-[VERSIÓN].jar). Por lo tanto, WLT3Serial requiere múltiples archivos (detallados abajo) para ejecutarse correctamente con toda la funcionalidad.

Construcción

Requiere Oracle Java 7 u 8. No se ha probado con ningún otro proveedor de Java (como OpenJDK o IBM JRE), por lo que no prometo soporte para estos. Probablemente se pueda construir con Java 9 o 10, pero no prometo soporte para estos.

WLT3Serial se construye mediante el sistema de automatización de construcción Gradle. Se debe usar Gradle 4 para la construcción, aunque otras versiones han sido probadas parcialmente (ver sección de Desarrollo).

Dependencias de terceros:

• ysoserial - Para generar cargas útiles de deserialización de objetos; se requiere versión v0.0.5 o superior (será descargada automáticamente por Gradle si el usuario no la proporciona de antemano).
• wlthint3client - Para manejar conexiones T3/T3S de forma nativa; debe ser proporcionado por el usuario (debido a los términos de licencia de Oracle): Se puede descargar (requiere nombre de usuario/contraseña de Oracle) como parte del archivo wls1036_dev.zip (ubicado en /wlserver/server/lib/wlthint3client.jar) alojado en esta página ("Distribución Zip para Mac OSX, Windows y Linux" bajo la sección "Oracle WebLogic Server 10.3.6").

Procedimiento:

1. Clonar el repositorio de WLT3Serial. git clone https://github.com/Bort-Millipede/WLT3Serial.git
2. Abrir una terminal y navegar al repositorio clonado.
3. Ejecutar el siguiente comando para crear el directorio de construcción preliminar: gradle clean prepare
4. Colocar el archivo wlthint3client.jar descargado en el directorio build/libs/.
5. (OPCIONAL) Si se usa una versión preferida de ysoserial (v0.0.5 o superior), colocar el archivo ysoserial.jar en el directorio build/libs/.
6. Para construir el archivo jar de WLT3Serial (ubicado en build/libs/WLT3Serial-[VERSIÓN].jar), ejecutar el siguiente comando: gradle build -x test

Uso

Requiere Oracle Java 7 u 8. No se ha probado con ningún otro proveedor de Java (como OpenJDK o IBM JRE), por lo que no prometo soporte para estos. Probablemente se pueda usar con Java 9 o 10, pero no prometo soporte para estos.

Si se usan los métodos de explotación Property (predeterminado), Bind o WLBind, WLT3Serial debe ejecutarse de la siguiente manera (observar el valor del parámetro '-cp' de java):

• en *nix: java -cp /ruta/a/ysoserial.jar:/ruta/a/wlthint3client.jar:/ruta/a/WLT3Serial-[VERSIÓN].jar bort.millipede.wlt3.WLT3Serial [OPCIONES] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• en Windows: java -cp \ruta\a\ysoserial.jar;\ruta\a\wlthint3client.jar;\ruta\a\WLT3Serial-[VERSIÓN].jar bort.millipede.wlt3.WLT3Serial [OPCIONES] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Si se usa el método de explotación CustomClass, WLT3Serial debe ejecutarse de la siguiente manera (observar el valor del parámetro '-cp' de java):

• en *nix: java -cp /ruta/a/ysoserial.jar:/ruta/a/WLT3Serial-[VERSIÓN].jar:/ruta/a/wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPCIONES] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• en Windows: java -cp \ruta\a\ysoserial.jar;\ruta\a\WLT3Serial-[VERSIÓN].jar;\ruta\a\wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPCIONES] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

A continuación se muestra la impresión del menú de ayuda integrado:

Usage: WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Options:
	--help				print usage (you're lookin at it)

	--verbose			Verbose output (full thrown exception output; Disabled by default)

	--method=EXPLOIT_METHOD		Exploit Method for delivering generated ysoserial payload
		Exploit Methods:
			Property	Send ysoserial payload as connection environment property value (Default; via javax.naming.Context.lookup(), variation of ysoserial.exploit.RMIRegistryExploit)
			Bind		Send ysoserial payload as object to bind to name (via javax.naming.Context.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			WLBind		Send ysoserial payload as WebLogic RMI object to bind to name (via weblogic.rmi.Naming.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			CustomClass	Send ysoserial payload during T3/T3S connection initialization (via custom weblogic.rjvm.ClassTableEntry class, similar to JavaUnserializeExploits weblogic.py)

	--t3s[=PROTOCOL]		Use T3S (transport-encrypted) connection (Disabled by default)
		Protocols:
			TLSv1.2
			TLSv1.1
			TLSv1 (Default)
			SSLv3
			SSLv2 (SSLv2Hello handshake only, then fallback to SSLv3 for communication: this is an Oracle Java limitation, not a WLT3Serial limitation)


Available Payload Types (WebLogic is usually vulnerable to "CommonsCollectionsX" and "JRMPClientX" types):
	(available payloads listed here)