CVE-2017-10271

Script de detecção para vulnerabilidade de desserialização do componente Weblogic wls-wsat (CVE-2017-10271)

Uso

$ python CVE-2017-10271 url

Além disso, é necessário registrar uma conta no ceye.io e preencher o Identifier e API Token fornecidos na seguinte parte do código:

Funcionalidades

Detecta se o Weblogic em ambientes Windows e Linux possui a vulnerabilidade de execução remota de comandos CVE-2017-10271.

Atualmente testado apenas em ambiente Linux

Testado e validado em ambientes Windows e Linux

Princípio de detecção

Usando a funcionalidade de DNS log fornecida pelo ceye.io e sua interface de consulta, através do envio de um comando ping, o servidor executa ping no domínio fornecido pelo ceye.io, e utiliza sua interface de consulta para verificar se o registro desse ping foi recebido, para determinar se o comando foi executado com sucesso.

Aqui, o domínio para o ping é composto por uma string aleatória de 6 caracteres alfanuméricos (maiúsculas/minúsculas) combinada com o domínio fornecido pelo ceye.io, por exemplo, 4xF7hY.xxxxxx.ceye.io. O 4xF7hY é gerado aleatoriamente a cada requisição, o que facilita a consulta posterior na interface como um identificador único e garante a unicidade e precisão da detecção da vulnerabilidade.

Outros

Este código foi modificado com base na arquitetura geral do script weblogic_xmldecoder_exec.py de @Lucifer1993, e o windows_payload veio de CVE-2017-10271 de @1337g.