WLT3Serial

Exploit de desserialização nativo baseado em Java para listeners WebLogic T3 (e T3S) (conforme descrito AQUI). Requer dependências de terceiros ysoserial e wlthint3client.

Vantagens/Desvantagens em comparação com JavaUnserializeExploits weblogic.py e loubia

Vantagens:

• Lida nativamente com a comunicação T3/T3S (para a maioria dos métodos de exploração) usando Java em vez de capturas de pacotes únicas com scripts Python e, portanto, deve funcionar contra todas as versões do servidor WebLogic.
• Gera payloads de objeto diretamente através do ysoserial durante cada execução, em vez de payloads de objeto gerados uma única vez, e portanto suporta todos os tipos de payload de objeto na versão mais recente do ysoserial.
• Analisa (e exibe se solicitado) todas as Exceções lançadas durante a execução e declara claramente o resultado geral presumido da execução com base nessas exceções. Isso inclui notificar o usuário se a exploração parece ser bem-sucedida, se a comunicação SSL/TLS falhou ou se o servidor WebLogic alvo parece estar corrigido contra exploração.
• Oferece vários métodos diferentes para entrega de payload (semelhante a JavaUnserialize weblogic.py/loubia e ysoserial.exploit.RMIRegistryExploit).

Desvantagens:

• Depende de um arquivo .jar (wlthint3client.jar) que não pode ser distribuído por mim (devido aos termos de licenciamento da Oracle) e só pode ser baixado com um nome de usuário/senha da Oracle. Por causa disso, só posso distribuir um jar de versão "thin" que ainda exige que o usuário obtenha o arquivo wlthint3client.jar necessário da Oracle.
• Devido a problemas com a forma como a JVM carrega classes durante a inicialização, o uso de um arquivo jar executável completo all-in-one (WLT3Serial-full-[VERSION].jar) não é mais suportado. Portanto, o WLT3Serial requer vários arquivos (descritos abaixo) para funcionar corretamente com funcionalidade completa.

Construção

Requer Oracle Java 7 ou 8. Não foi testado com nenhum outro fornecedor de Java (como OpenJDK ou IBM JRE), então não faço promessas de suporte para esses. Provavelmente pode ser construído com Java 9 ou 10, mas não faço promessas de suporte para esses.

O WLT3Serial é construído através do sistema de automação de build Gradle. O Gradle 4 deve ser usado para construção, embora outras versões tenham sido parcialmente testadas (consulte a seção Desenvolvimento).

Dependências de Terceiros:

• ysoserial - Para gerar payloads de desserialização de objetos; Versão v0.0.5 ou superior necessária (será baixada automaticamente pelo Gradle se não for fornecida previamente pelo usuário.)
• wlthint3client - Para lidar com conexões T3/T3S nativamente; deve ser fornecido pelo usuário (devido aos termos de licenciamento da Oracle): Pode ser baixado (requer nome de usuário/senha da Oracle) como parte do arquivo wls1036_dev.zip (localizado em /wlserver/server/lib/wlthint3client.jar) hospedado em esta página ("Distribuição Zip para Mac OSX, Windows e Linux" na seção "Oracle WebLogic Server 10.3.6").

Procedimento:

1. Clone o repositório WLT3Serial. git clone https://github.com/Bort-Millipede/WLT3Serial.git
2. Abra o terminal e navegue até o repositório clonado.
3. Execute o seguinte comando para criar o diretório de build preliminar: gradle clean prepare
4. Coloque o arquivo wlthint3client.jar baixado no diretório build/libs/.
5. (OPCIONAL) Se estiver usando uma versão preferida do ysoserial (v0.0.5 ou superior), coloque o arquivo ysoserial.jar no diretório build/libs/.
6. Para construir o arquivo jar do WLT3Serial (localizado em build/libs/WLT3Serial-[VERSION].jar), execute o seguinte comando: gradle build -x test

Uso

Requer Oracle Java 7 ou 8. Não foi testado com nenhum outro fornecedor de Java (como OpenJDK ou IBM JRE), então não faço promessas de suporte para esses. Provavelmente pode ser usado com Java 9 ou 10, mas não faço promessas de suporte para esses.

Se estiver usando os métodos de exploração Property (padrão), Bind ou WLBind, o WLT3Serial deve ser executado da seguinte forma (observe o valor do parâmetro '-cp' do java):

• on *nix: java -cp /path/to/ysoserial.jar:/path/to/wlthint3client.jar:/path/to/WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• on Windows: java -cp \path\to\ysoserial.jar;\path\to\wlthint3client.jar;\path\to\WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Se estiver usando o método de exploração CustomClass, o WLT3Serial deve ser executado da seguinte forma (observe o valor do parâmetro '-cp' do java):

• on *nix: java -cp /path/to/ysoserial.jar:/path/to/WLT3Serial-[VERSION].jar:/path/to/wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• on Windows: java -cp \path\to\ysoserial.jar;\path\to\WLT3Serial-[VERSION].jar;\path\to\wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Abaixo está a saída do menu de ajuda embutido:

Usage: WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Options:
	--help				print usage (you're lookin at it)

	--verbose			Verbose output (full thrown exception output; Disabled by default)

	--method=EXPLOIT_METHOD		Exploit Method for delivering generated ysoserial payload
		Exploit Methods:
			Property	Send ysoserial payload as connection environment property value (Default; via javax.naming.Context.lookup(), variation of ysoserial.exploit.RMIRegistryExploit)
			Bind		Send ysoserial payload as object to bind to name (via javax.naming.Context.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			WLBind		Send ysoserial payload as WebLogic RMI object to bind to name (via weblogic.rmi.Naming.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			CustomClass	Send ysoserial payload during T3/T3S connection initialization (via custom weblogic.rjvm.ClassTableEntry class, similar to JavaUnserializeExploits weblogic.py)

	--t3s[=PROTOCOL]		Use T3S (transport-encrypted) connection (Disabled by default)
		Protocols:
			TLSv1.2
			TLSv1.1
			TLSv1 (Default)
			SSLv3
			SSLv2 (SSLv2Hello handshake only, then fallback to SSLv3 for communication: this is an Oracle Java limitation, not a WLT3Serial limitation)


Available Payload Types (WebLogic is usually vulnerable to "CommonsCollectionsX" and "JRMPClientX" types):
	(available payloads listed here)