luffin/cve-2017-10271CVE-2017-10271 PoC
Weblogic wls-wsat 구성 요소 역직렬화 취약점(CVE-2017-10271) 탐지 스크립트
$ python CVE-2017-10271 url
또한 ceye.io 계정을 등록하고, 제공된 Identifier 및 API Token을 코드의 다음 부분에 입력해야 합니다:
Windows 및 Linux 환경에서 Weblogic에 CVE-2017-10271 원격 명령 실행 취약점이 존재하는지 탐지합니다.
현재 Linux 환경에서만 테스트되었습니다
Windows 및 Linux 환경에서 모두 테스트 유효
ceye.io에서 제공하는 DNS 로그 기능과 그 인터페이스 조회 기능을 사용합니다. ping 명령을 전송하여 서버가 ceye.io에서 제공한 도메인을 핑하도록 하고, 조회 인터페이스를 사용하여 이 핑의 기록이 수신되었는지 확인하여 명령이 성공적으로 실행되었는지 판단합니다.
여기서 ping에 사용되는 도메인은 무작위 6자리 대소문자 문자열과 ceye.io에서 제공하는 도메인이 결합된 형태입니다. 예를 들어 4xF7hY.xxxxxx.ceye.io 형식이며, 여기서 4xF7hY는 각 요청마다 무작위로 생성됩니다. 이렇게 하면 이후 인터페이스 조회 시 고유한 특징 값으로 사용되어 편리하게 조회할 수 있으며, 취약점 탐지의 고유성과 정확성을 보장할 수 있습니다.
이 코드는 @Lucifer1993의 weblogic_xmldecoder_exec.py 스크립트의 전체 아키텍처를 기반으로 수정되었으며, 그중 windows_payload는 @1337g의 CVE-2017-10271에서 가져왔습니다.