怎么進行CVE-2017–10271漏洞原理的分析

怎么進行CVE-2017–10271漏洞原理的分析，相信很多沒有經(jīng)驗的人對此束手無策，為此本文總結了問題出現(xiàn)的原因和解決方法，通過這篇文章希望你能解決這個問題。

1     漏洞背景

Weblogic是oracle推出的application server，由于其具有支持EJB、JSP、JMS、XML等多種語言、可擴展性、快速開發(fā)等多種特性，備受廣大系統(tǒng)管理員的青睞。根據(jù)不完全統(tǒng)計weblogic約占全球市場份額1/3，正因為這么高的占有率，也造成每次weblogic有新的漏洞，都會在業(yè)內(nèi)引起軒然大波。在2017年接近尾聲時，weblogic又再次給大家?guī)砹司薮篌@喜，CVE-2017-10271漏洞又一次席卷了政府、銀行等各大行業(yè)。

其實在很早的時候，oracle官方就發(fā)布了有關CVE-2017-3506的補丁，由于是采用了黑名單的修復方式，沒有徹底將該漏洞進行修復，具體修復代碼如下：

由于當時并沒有出現(xiàn)大量利用exp，所以此漏洞并沒有被大規(guī)模利用，早期的補丁由于沒有徹底修復，可通過構造相關http請求，依然可以進行遠程命令執(zhí)行。Oracle在后續(xù)又再次發(fā)布了CVE-2017-10271的補丁，具體補丁信息如下：

2     漏洞原理分析

CVE-2017-10271漏洞主要是由WebLogic Server WLS組件遠程命令執(zhí)行漏洞，主要由wls-wsat.war觸發(fā)該漏洞，觸發(fā)漏洞url如下： http://192.168.xx.xx:7001/wls-wsat/CoordinatorPortType  post數(shù)據(jù)包，通過構造構造SOAP（XML）格式的請求，在解析的過程中導致XMLDecoder反序列化漏洞。

測試xml代碼如下：

Java讀取xml文件文件進行反序列化命令執(zhí)行如下，執(zhí)行相關java代碼即可執(zhí)行calc，打開計算器

weblogic.wsee.jaxws.workcontext.WorkContextServerTube.processRequest方法如下：

將localheader1帶入readHeaderOld，對localHeader1具體定義如下：

localHeader1=localHeaderList.get(WorkAreaConstants.WORK_AREA_HEADER,true);

readHeaderOld函數(shù)具體如下，創(chuàng)建WorkContextXmlInputAdapter（weblogic/wsee/jaxws/workcontext）

WorkContextXmlInputAdapter類具體如下，此處通過XMLDecoder實現(xiàn)實體和xml內(nèi)容的轉(zhuǎn)換，隨即出現(xiàn)了XMLDecoder反序列化，使得java在調(diào)用xml時實現(xiàn)了內(nèi)容可控。

weblogic.wsee.jaxws.workcontext.WorkContextServerTube.processRequest

weblogic.wsee.jaxws.workcontext.WorkContextTube.readHeaderOld

weblogic.wsee.workarea.WorkContextXmlInputAdapter

3     漏洞利用

網(wǎng)上關于10271的漏洞poc已經(jīng)很多了，這里還是簡單記錄下利用方式，通過post方式提交poc，即可提交成功

訪問地址http://***.***.131.128:7001/bea_wls_internal/test.jsp?即可進行命令查詢

具體漏洞利用方式可自行參考github內(nèi)容。

4     修復建議

該漏洞還是給很多行業(yè)帶來了巨大沖擊，就針對山東省而言，多家政府、事業(yè)單位也紛紛被攻擊者利用該漏洞植入惡意程序，提出以下加固意見：

?  Oracle下載相關10271補丁，下載地址如下http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html；

?  根據(jù)實際環(huán)境路徑，刪除WebLogicwls-wsat組件；刪除相關文件后重啟weblogic，保證訪問wls-wsat/ 提示404錯誤；

針對該漏洞被惡意利用的單位可查看如下如下路徑進行日志查看，具體的路徑根據(jù)實際安裝情況進行查看：

xx:\xx\Middleware\user_projects\domains\base_domain\servers\AdminServer\logs

看完上述內(nèi)容，你們掌握怎么進行CVE-2017–10271漏洞原理的分析的方法了嗎？如果還想學到更多技能或想了解更多相關內(nèi)容，歡迎關注億速云行業(yè)資訊頻道，感謝各位的閱讀！