Weblogic漏洞之弱口令、任意文件读取、上传shell

转载自:https://blog.****.net/qq_29647709/article/details/84930879

弱口令

环境启动后，访问http://192.168.1.15:7001/console/login/LoginForm.jsp，即为weblogic后台。
本环境存在弱口令可以直接登录：

weblogic
[email protected]

weblogic常用弱口令：

1. Oracle - WebLogic
Method   HTTP
User ID   system
Password   password
Level   Administrator
Doc
Notes   Login located at /console

2. Oracle - WebLogic
Method   HTTP
User ID   weblogic
Password   weblogic
Level   Administrator
Doc
Notes   Login located at /console

3. Oracle - WebLogic
Version   9.0 Beta (Diablo)
User ID   weblogic
Password   weblogic
Doc

4. Oracle - WebLogic Process Integrator
Version   2.0
User ID   admin
Password   security
Doc

5. Oracle - WebLogic Process Integrator
Version   2.0
User ID   joe
Password   password
Doc

6. Oracle - WebLogic Process Integrator
Version   2.0
User ID   mary
Password   password
Doc

7. Oracle - WebLogic Process Integrator
Version   2.0
User ID   system
Password   security
Doc

8. Oracle - WebLogic Process Integrator
Version   2.0
User ID   wlcsystem
Password   wlcsystem
Doc

9. Oracle - WebLogic Process Integrator
Version   2.0
User ID   wlpisystem
Password   wlpisystem
Doc
任意文件读取漏洞的利用
假设不存在弱口令，如何对weblogic进行渗透？
本环境前台模拟了一个任意文件下载漏洞，访问http://192.168.1.15:7001/hello/file.jsp?path=/etc/passwd可见成功读取passwd文件

Weblogic漏洞之弱口令、任意文件读取、上传shell

那么，该漏洞如何利用？
读取后台用户密文与**文件
weblogic密码使用AES（老版本3DES）加密，对称加密可解密，只需要找到用户的密文与加密时的**即可。这两个文件均位于base_domain下，名为SerializedSystemIni.dat和config.xml，在本环境中为./security/SerializedSystemIni.dat和./config/config.xml（基于当前目录/root/Oracle/Middleware/user_projects/domains/base_domain）。
**获取
SerializedSystemIni.dat是一个二进制文件，所以一定要用burpsuite来读取，用浏览器直接下载可能引入一些干扰字符。在burp里选中读取到的那一串乱码，右键copy to file就可以保存成一个文件：
Weblogic漏洞之弱口令、任意文件读取、上传shell