WLT3Serial

WebLogic T3 (और T3S) लिसनर के लिए नेटिव Java-आधारित डिसीरियलाइज़ेशन शोषण (जैसा यहाँ उल्लिखित है)। इसके लिए तृतीय-पक्ष निर्भरताएँ ysoserial और wlthint3client आवश्यक हैं।

JavaUnserializeExploits weblogic.py और loubia की तुलना में लाभ/हानियाँ

लाभ:

• T3/T3S संचार को Python स्क्रिप्ट के साथ एकमुश्त पैकेट कैप्चर के बजाय Java के साथ नेटिव रूप से संभालता है (अधिकांश शोषण विधियों के लिए), और इसलिए यह सभी WebLogic सर्वर संस्करणों के विरुद्ध काम करना चाहिए।
• प्रति निष्पादन के दौरान ysoserial के माध्यम से सीधे ऑब्जेक्ट पेलोड उत्पन्न करता है, न कि एकमुश्त उत्पन्न ऑब्जेक्ट पेलोड, और इसलिए नवीनतम ysoserial संस्करण में सभी ऑब्जेक्ट पेलोड प्रकारों का समर्थन करता है।
• निष्पादन के दौरान फेंके गए सभी अपवादों को पार्स (और यदि अनुरोध किया जाए तो प्रदर्शित) करता है, और इन अपवादों के आधार पर निष्पादन के कल्पित समग्र परिणाम को स्पष्ट रूप से बताता है। इसमें उपयोगकर्ता को सूचित करना शामिल है यदि शोषण सफल प्रतीत होता है, यदि SSL/TLS-सक्षम संचार विफल हुआ, या यदि लक्ष्य WebLogic सर्वर शोषण के विरुद्ध पैच किया हुआ प्रतीत होता है।
• पेलोड वितरण के लिए कई अलग-अलग विधियाँ प्रदान करता है (JavaUnserialize weblogic.py/loubia और ysoserial.exploit.RMIRegistryExploit दोनों के समान)।

हानियाँ:

• एक .jar फ़ाइल (wlthint3client.jar) पर निर्भर करता है जिसे मेरे द्वारा वितरित नहीं किया जा सकता (Oracle लाइसेंसिंग शर्तों के कारण) और केवल Oracle उपयोगकर्ता नाम/पासवर्ड के साथ डाउनलोड किया जा सकता है। इस कारण, मैं केवल एक "थिन" रिलीज़ जार वितरित कर सकता हूँ जिसके लिए अभी भी उपयोगकर्ता को Oracle से आवश्यक wlthint3client.jar फ़ाइल प्राप्त करनी होती है।
• JVM द्वारा आरंभीकरण के दौरान क्लासेस लोड करने के तरीके से संबंधित समस्याओं के कारण, पूर्ण ऑल-इन-वन निष्पादन योग्य WLT3Serial जार फ़ाइल (WLT3Serial-full-[VERSION].jar) का उपयोग अब समर्थित नहीं है। इसलिए, WLT3Serial को पूर्ण कार्यक्षमता के साथ ठीक से चलाने के लिए कई फ़ाइलों (नीचे उल्लिखित) की आवश्यकता होती है।

निर्माण

Oracle Java 7 या 8 की आवश्यकता है। किसी अन्य Java विक्रेता (जैसे OpenJDK या IBM JRE) के साथ परीक्षण नहीं किया गया है, इसलिए मैं इनके लिए समर्थन का कोई वादा नहीं करता। Java 9 या 10 के साथ बनाया जा सकता है, लेकिन मैं इनके लिए समर्थन का कोई वादा नहीं करता।

WLT3Serial Gradle बिल्ड ऑटोमेशन सिस्टम के माध्यम से बनाया जाता है। निर्माण के लिए Gradle 4 का उपयोग किया जाना चाहिए, हालाँकि अन्य संस्करणों का आंशिक रूप से परीक्षण किया गया है (विकास अनुभाग देखें)।

तृतीय-पक्ष निर्भरताएँ:

• ysoserial - ऑब्जेक्ट डिसीरियलाइज़ेशन पेलोड उत्पन्न करने के लिए; संस्करण v0.0.5 या उच्चतर आवश्यक (यदि उपयोगकर्ता द्वारा पहले से प्रदान नहीं किया गया है तो Gradle द्वारा स्वचालित रूप से डाउनलोड किया जाएगा।)
• wlthint3client - T3/T3S कनेक्शन को नेटिव रूप से संभालने के लिए; उपयोगकर्ता द्वारा प्रदान किया जाना चाहिए (Oracle लाइसेंसिंग शर्तों के कारण): wls1036_dev.zip फ़ाइल के भाग के रूप में डाउनलोड किया जा सकता है (Oracle उपयोगकर्ता नाम/पासवर्ड आवश्यक) (/wlserver/server/lib/wlthint3client.jar पर स्थित) जो इस पृष्ठ पर होस्ट किया गया है ("Oracle WebLogic Server 10.3.6" अनुभाग के अंतर्गत "Mac OSX, Windows और Linux के लिए ज़िप वितरण")।

प्रक्रिया:

1. WLT3Serial रिपॉजिटरी को क्लोन करें। git clone https://github.com/Bort-Millipede/WLT3Serial.git
2. टर्मिनल खोलें और क्लोन किए गए रिपॉजिटरी पर नेविगेट करें।
3. प्रारंभिक बिल्ड निर्देशिका बनाने के लिए निम्नलिखित कमांड निष्पादित करें: gradle clean prepare
4. डाउनलोड की गई wlthint3client.jar फ़ाइल को build/libs/ निर्देशिका में रखें।
5. (वैकल्पिक) यदि ysoserial का पसंदीदा संस्करण (v0.0.5 या उच्चतर) उपयोग कर रहे हैं, तो ysoserial.jar फ़ाइल को build/libs/ निर्देशिका में रखें।
6. WLT3Serial जार फ़ाइल (build/libs/WLT3Serial-[VERSION].jar पर स्थित) बनाने के लिए निम्नलिखित कमांड निष्पादित करें: gradle build -x test

उपयोग

Oracle Java 7 या 8 की आवश्यकता है। किसी अन्य Java विक्रेता (जैसे OpenJDK या IBM JRE) के साथ परीक्षण नहीं किया गया है, इसलिए मैं इनके लिए समर्थन का कोई वादा नहीं करता। Java 9 या 10 के साथ उपयोग किया जा सकता है, लेकिन मैं इनके लिए समर्थन का कोई वादा नहीं करता।

यदि Property (डिफ़ॉल्ट), Bind या WLBind शोषण विधियों का उपयोग कर रहे हैं, तो WLT3Serial को इस प्रकार निष्पादित किया जाना चाहिए (java '-cp' पैरामीटर का मान ध्यान दें):

• *nix पर: java -cp /path/to/ysoserial.jar:/path/to/wlthint3client.jar:/path/to/WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• Windows पर: java -cp \path\to\ysoserial.jar;\path\to\wlthint3client.jar;\path\to\WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

यदि CustomClass शोषण विधि का उपयोग कर रहे हैं, तो WLT3Serial को इस प्रकार निष्पादित किया जाना चाहिए (java '-cp' पैरामीटर का मान ध्यान दें):

• *nix पर: java -cp /path/to/ysoserial.jar:/path/to/WLT3Serial-[VERSION].jar:/path/to/wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• Windows पर: java -cp \path\to\ysoserial.jar;\path\to\WLT3Serial-[VERSION].jar;\path\to\wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

नीचे अंतर्निहित सहायता मेनू का प्रिंटआउट है:

Usage: WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Options:
	--help				print usage (you're lookin at it)

	--verbose			Verbose output (full thrown exception output; Disabled by default)

	--method=EXPLOIT_METHOD		Exploit Method for delivering generated ysoserial payload
		Exploit Methods:
			Property	Send ysoserial payload as connection environment property value (Default; via javax.naming.Context.lookup(), variation of ysoserial.exploit.RMIRegistryExploit)
			Bind		Send ysoserial payload as object to bind to name (via javax.naming.Context.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			WLBind		Send ysoserial payload as WebLogic RMI object to bind to name (via weblogic.rmi.Naming.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			CustomClass	Send ysoserial payload during T3/T3S connection initialization (via custom weblogic.rjvm.ClassTableEntry class, similar to JavaUnserializeExploits weblogic.py)

	--t3s[=PROTOCOL]		Use T3S (transport-encrypted) connection (Disabled by default)
		Protocols:
			TLSv1.2
			TLSv1.1
			TLSv1 (Default)
			SSLv3
			SSLv2 (SSLv2Hello handshake only, then fallback to SSLv3 for communication: this is an Oracle Java limitation, not a WLT3Serial limitation)


Available Payload Types (WebLogic is usually vulnerable to "CommonsCollectionsX" and "JRMPClientX" types):
	(available payloads listed here)

शोषण विधि नोट्स

Property, Bind और WLBind विधियाँ सभी बहुत समान हैं। यह इस हद तक है कि यदि कोई लक्ष्य सिस्टम इनमें से किसी एक विधि का उपयोग करके शोषित नहीं किया जा सकता है, तो संभवतः इसे उनमें से किसी का उपयोग करके भी शोषित नहीं किया जा सकता है। CustomClass विधि अन्य विधियों से पूरी तरह अलग है।

Property/Bind/WLBind विधियों के लाभ/हानियाँ:

• लाभ: क्योंकि ये विधियाँ wlthint3client.jar फ़ाइल से उपलब्ध WebLogic क्लासेस/विधियों के माध्यम से प्रयासित शोषण करती हैं, T3/T3S संचार नेटिव रूप से संभाला जाता है और उपयोगकर्ताओं को शोषण क्षमता और सफलता निर्धारित करने में सहायता के लिए सार्थक आउटपुट (अपवाद, स्टैक ट्रेसेस, आदि) उत्पन्न होता है।
• हानि: लेखन के समय, Oracle ने इन विधियों का उपयोग करके शोषण के अधिकांश (यदि सभी नहीं) मोड को पैच कर दिया है।

CustomClass विधि के लाभ/हानियाँ:

• लाभ: क्योंकि यह विधि उपरोक्त विधियों से भिन्न WebLogic क्लासलोडर (जिसमें अतिरिक्त असुरक्षित लाइब्रेरीज़ होती हैं) पर हमला करती है, नए सफल शोषण मोड उपलब्ध हैं।
• हानि: इस विधि द्वारा लक्ष्य सर्वरों को पेलोड वितरित करने के तरीके की प्रकृति के कारण (मूलतः नेटिव T3/T3S संचार को अक्षम करके), उपयोगकर्ताओं को शोषण क्षमता और सफलता निर्धारित करने में सहायता के लिए सार्थक आउटपुट (अपवाद, स्टैक ट्रेसेस, आदि) उत्पन्न नहीं किया जा सकता है।

T3S कनेक्शन नोट्स

यह अनुशंसा की जाती है कि उपयोगकर्ता यह पता लगाने के लिए sslscan या nmap ssl-enum-ciphers script के साथ लक्ष्य सेवा का स्कैन करे कि कौन से प्रोटोकॉल समर्थित हैं। इस प्रकार, उपयोगकर्ता WLT3Serial निष्पादित करते समय --t3s विकल्प को ठीक कर सकता है।

विकास

JavaUnserializeExploits weblogic.py और loubia शोषणों में सुधार करने के प्रयास में, WLT3Serial को Java में निम्नलिखित संसाधनों का उपयोग करके WebLogic T3/T3S सेवाओं से जुड़ने के लिए विकसित किया गया था:

• https://docs.oracle.com/cd/E21764_01/web.1111/e13717/wlthint3client.htm
• https://docs.oracle.com/cd/E13222_01/wls/docs92/jndi/jndi.html
• https://docs.oracle.com/cd/E11035_01/wls100/javadocs/weblogic/rmi/Naming.html
• https://gist.github.com/fkrauthan/ac8624466a4dee4fd02f

Java में T3 कनेक्शन को नेटिव रूप से संभालने के साथ-साथ उपयोगकर्ता के लिए सहायक कमांड आउटपुट प्रदान करने के लिए उचित त्रुटि प्रबंधन पर जोर दिया गया।

WLT3Serial को निम्नलिखित सॉफ़्टवेयर संस्करणों का उपयोग करके विकसित किया गया था:

• Oracle Java 8 Update 191
• Oracle Java 7 Update 80 और Oracle Java 7 Update 17
• Gradle 4.10.2, 3.2 (आंशिक रूप से परीक्षित), 2.10 (आंशिक रूप से परीक्षित), 1.4 (आंशिक रूप से परीक्षित)

विकास के दौरान लाइव परीक्षण WebLogic सर्वर के निम्नलिखित संस्करणों के विरुद्ध किया गया था:

• 10.3.6
• 12.1.3
• 12.2.1.1 (केवल कुछ पेलोड प्रकारों और शोषण विधियों के लिए असुरक्षित)
• 12.2.1.2 (केवल कुछ पेलोड प्रकारों और शोषण विधियों के लिए असुरक्षित)
• 12.2.1.3 (आंशिक रूप से असुरक्षित)

अस्वीकरण

डेवलपर्स सॉफ़्टवेयर को बिना किसी वारंटी के मुफ्त प्रदान करते हैं, और सॉफ़्टवेयर का उपयोग करके सिस्टम को हुए किसी भी नुकसान के लिए कोई जिम्मेदारी नहीं लेते हैं। सॉफ़्टवेयर का उपयोग करते समय सभी स्थानीय, राज्य और संघीय कानूनों का पालन करना उपयोगकर्ता की जिम्मेदारी है।

कॉपीराइट

(C) 2017, 2018 जेफ़री कैप (Bort_Millipede)