针对Oracle WebLogic ADF Faces（CVE-2022-21445，CVSS 9.8）的预认证远程代码执行利用。包含详细的环境搭建、载荷生成和远程调试说明，用于渗透测试。

在步骤 9/17，选择字符集为 Unicode (AL32UTF8)

5. 安装过程完成后，请在 Windows 的 Services 中仔细检查，确保如下图中 4 个主要服务处于 RUNNING 状态

6. 按照以下步骤创建一个新的 Oracle 数据库账户：

• 管理员终端 -> sqlplus / as sysdba
• 创建 system 系统用户：alter user system identified by system_password account unlock;
• 检查 system 用户是否存在：select username from dba_users;
• 设置环境：alter session set “_oracle_script”=true;
• 创建普通用户 hr：create user hr identified by user_password;
• 授权：grant all privileges to hr;
• 解锁账户 – 修改密码：alter user hr identified by hr_pass account unlock;
• 创建新的系统账户：alter user sys identified by sys_pass account unlock;

步骤 3：安装 SQL Developer，no-jre 版本，下载链接：SQLDev-NoJRE

• 以管理员权限运行 sqldeveloper.application 文件

• 按下图设置新连接的各参数，注意修改 Username 和 Password（如上文示例为 hr）、Hostname（默认为 localhost）、Port（默认为 1521）、SID（即步骤 2 中安装的全局数据库名）

• 如果点击 Test 时提示 Success，则连接成功，点击 Connect

步骤 4：安装 Fusion Middleware Infrastructure (FMW) 12.2.1.3.0 版本，下载链接 FMW_ver_12.2.1.3.0

• 为 FMW 安装目录创建形如 C:\Oracle\Middleware\Oracle_Home 的路径
• 按照指南依次执行各步骤：FMW 安装指南

步骤 5：安装 Oracle Business Intelligence (OBIEE) 12.2.1.4.0 版本，下载链接：OBIEE_ver_12.2.1.4.0

• 以管理员权限运行 setup_bi_platform-12.2.1.4.0_win64.exe 文件

• 按照 OBIEE 安装指南 逐步安装

• 注意：BI 的路径必须与已安装 FMW 的路径一致，例如这里是 Oracle/Middleware/Oracle_Home

步骤 6：使用 Repository Creation Utility (RCU) 工具设置 BI Schema

• 在路径 C:\Oracle\Middleware\Oracle_Home\oracle_common\bin 下，以管理员权限运行 rcu.bat 文件

• 依次执行以下步骤

• 最后，点击 Create 让系统创建 BI Schema

步骤 7：为 OBIEE 设置环境变量

• 进入 控制面板 > 系统 > 高级系统设置 > 高级 > 环境变量 > 新建系统变量

步骤 8：创建 BI Domain

1. 在路径 C:\Oracle\Middleware\Oracle_Home\bi\bin 下，以管理员权限运行 config.cmd 文件

2. 在步骤 1：选择全部 3 个组件，其中 Essbase 是 OLAP 服务器，Business Intelligence Enterprise Edition 是 BI Analytics，Business Intelligence Publisher 是 BI Publisher

3. 在步骤 3：按下图设置新的 domain，！！请记住 domain 的密码，因为之后很难找回。 并将 domain 设置为 bi，因为这是默认值。

4. 在步骤 4：为数据库更新 domain 信息

5. 在步骤 8：如果过程顺利，将得到如下图的结果

6. 如果所有步骤均为 Done，则保存 OBIEE 的信息文件，供下一步使用，并登录打开以下 URL：

• http://localhost:9500/console*
• http://localhost:9500/em*
• http://localhost:9502/xmlpserver*
• http://localhost:9502/analytics*

7. 一些可能出现的错误

• 在步骤 4，如果系统提示 fail to logon，请重新检查 domain 密码是否正确

• 在步骤 8，如果系统报错如下图，请检查你是否已激活 Windows 许可证，以及你的 Windows 是否符合前文“条件”部分的描述。

• 错误：尚未添加 BI_HOME_PRODUCT，请查看 步骤 7
• 更新错误 ...

步骤 9：设置完成后，访问刚创建的 BI domain，路径为 $Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\adf.oracle.domain.webapp\i83uao

• 将这里所有的 jar 文件复制到一个单独的文件夹中，并共享到攻击机（在搭建实验环境时这样做；实际攻击时，攻击机上也需要像目标机一样安装，才能获取源码）

• 同时将路径 $Oracle_Home\coherence\lib 下的 coherence.jar 库添加到该文件夹中。

• 这是决定 payload 能否成功的重要目录，因为每个 FMW 或 BI 版本、以及每台机器的安装环境通常会有所不同，因此需要版本精确，以降低在传输 payload 时出现风险或异常（exception）的可能性。

步骤 10（仅当需要远程调试时执行；再次强调，如果在真实环境之外测试，由于无法随意设置受害者机器，因此攻击者需要在自己的机器上也完成目标机的设置，以便能够远程调试并检查错误）

• 安装 mozilla，添加端口为 8181 的 Burp 代理

• 在 BI 服务器端启用远程调试

  访问 localhost:9500/console

  在 Domain Structure -> 选择 bi -> Environment -> Servers

将显示两个服务器，即 Weblogic 的 AdminServer 和 BI 的 bi_server1

图 10.2：显示的服务器列表

选择左上角的 Lock & Edit，勾选 bi_server1 以编辑配置。接着点击 Configuration -> Server start -> 向下滚动到底部，选择 Advance（如果有）-> 选择并输入 Arguments -> 输入调试参数：

-Xdebug -Xnoagent – Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=n

（如果之后出现无法重启的错误，可以尝试使用 0.0.0.0:5005 重启 bi_server1）

输入 weblogic 密码（之前在 Config BI Domain 部分设置的）-> Apply change & Restart

启动管理员终端 -> 导航到路径 $Oracle_Home\user_projects\domains\bi\bitools\bin，运行 ./stop.cmd 和 ./start.cmd 以重启 bi_server1。如果在重启过程中没有出现错误，则说明调试已开启，并监听上述 5005 端口。如果出现错误，请重新检查上面的调试参数，看是否有多余的空格或 address 部分填错。

攻击机端

步骤 1：下载 IntelliJ IDEA Ultimate，并使用从 GitHub 上找到的激活码激活。

步骤 2（仅当攻击过程中出现类似 500 Server Error, ... 的错误时才执行此步骤，这是因为 payload 中存在异常）

1. 将项目的 jdk – sdk 版本调整为与目标机相同的版本（安装方法见 目标机部分 - 步骤 1）

2. 创建一个空项目，用于分析源代码，服务远程调试，3. 然后将从目标机收到的文件夹中的所有 jar 文件添加到该项目中

   Project Structure -> Modules -> 点击 + 号 -> 1 JARS or Directories -> 添加整个 jar 文件夹

4. 配置远程调试

   Run -> Edit Configurations -> + -> Remote JVM Debug

步骤 3：

• 将此仓库中的代码克隆到本机，删除 lib 目录中旧的 coherence.jar 文件，并用前面步骤中从目标机获取的文件替换。

• 接着，将其添加到一个由 IntelliJ 运行的项目中，将 lib 中的 jar 文件以 Add as library 方式添加。

• 再次检查 LambdaIdentity$.... 类的名称是否与 Weblogic 版本对应，如有变化，请对该文件进行重构并调整该文件的名称。

  Weblogic 12.2.1.3: LambdaIdentity$E12ECA49F06D0401A9D406B2DCC7463A

  Weblogic 12.2.1.4: LambdaIdentity$423B02C050017B24DB10DFF759AA56BF

• 修改 Main.java 文件中指向 LambdaIdentity$....class 文件的路径。要获得准确路径，有两种方法：一种是对 jar 文件运行 javac，使其生成 .class 文件；另一种是注释掉 main 函数的代码，然后正常运行该项目，class 文件的路径可以在 target 目录中找到。

• 再次检查项目的 jdk 和 sdk，使其与目标机一致。

分析 BI 代码和生成 payload 的代码

分析 BI 代码

1. 在路径 $Oracle\Middleware\Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\em\fw8wi5\war\WEB-INF

可以看到 web.xml 文件，该文件描述了与 servlet-mapping 相关的映射关系。"resources" 是与系统资源相关的 servlet，其中包含重要的数据和信息，因此这通常是攻击者针对的位置。

2. 深入研究 ResourceServlet 类，具体是 org.apache.myfaces.trinidad.webapp.ResourceServlet，可以看到 doGet 函数，其职责是处理发送到服务器的 get 请求。

• 在这里，通过 method _getResourceLoader()，从输入的 request 创建一个新的 loader。同时，一个 resourcePath 也被初始化，并通过 method getResourcePath（参数为 request）获取 servletPath 和 servletInfo 的值。该 loader 会调用函数 getResource(resourcePath)，尝试从输入的请求加载资源，并通过函数 org.apache.myfaces.trinidad.resource.ResourceLoader.getResource.findResource() 查找它，最后找到的值会被传递给 URL.class 的一个 url 实例。

• _getResourceLoader 维护了一个 ConcurrentMap，用于存储 servletPath 与 loaders 之间的映射关系。该关系在 oracle.adfinternal.view.resource.rich.RenderKitResourceLoader 中有明确定义。

• 在 RenderKitResourceLoader() 函数中，method _register 被调用，并传入相应的 regex + loader，然后返回其父函数 super.register。该函数会将 pattern 和相应的 loader 添加到 concurrentmap_loaders 中。因此，当 loader 在 doGet() 函数中初始化并接收输入 request 参数时，会从发送的 url request 中获取 servletPath 值，并传入 _loader.get() 以取出对应的 servlet。

• 漏洞作者认为，在包含重写 findResource() 方法的类中，oracle.adfinternal.view.resource.rich.RemoteApplicationResourceLoader 是存在导致反序列化风险的类。让我们一起分析它来寻找原因。

分析 RemoteApplicationResourceLoader.class 中的 findResource() 函数

该函数返回一个包含自定义协议 RAStreamHandler() 的 method。RAStreamHandler 将创建一个 URLConnection 对象，其值为 new RAURLConnection

RAURLConnection 函数调用 _getPathBean 函数

_getPathBean 函数包含一个 bean 对象，该对象通过调用 getInstanceFromString() 函数创建，其任务是处理接收到的字符串，以取出相应的 key（filter）。

输入的 bean 字符串将通过 SerializationUtils 类从 URL encoded 形式转换为一个 URLEncoderPathBean 对象。如果一切正常，后面的 input 将继续被传入 fromURLEncodeString() 函数。

当输入字符串出错时会抛出异常。异常主要来自 payload 中使用的 lib，可能是由于版本不匹配或 Lambda 文件路径错误。

在 fromURLEncodedString() 函数中，返回一个参数为 url 的 fromString 函数，其代码如下：

在 fromString 函数中，数据经过 readObject() 后被返回。可以看到，输入完全没有被过滤，流经多个函数后最终在 fromString() 中被反序列化。这正是用于漏洞利用的 sink。有了 sink，接下来只需找到 source 即可。

3. 寻找 source：如上面所分析的，要找到 source，需要确定输入的 url request。可以看到，要调用 findResource() 函数，必须能够导航到 RemoteApplicationResourceLoader 类。在 RenderKitResourceLoader 类中已经定义得非常清楚：```bash this._register("/./remote/(.)", new RemoteApplicationResourceLoader());