weblogic漏洞复现

Weblogic反序列化漏洞，漏洞CVE-2019-2725，复现一个让运维半夜爬起来打补丁的漏洞东西。2019年4月，复现Oracle发了预警，漏洞当时圈子里炸了锅。复现我手里正好有一套10.3.6的漏洞环境，就顺手复现了一遍。复现

先说环境。漏洞Weblogic 10.3.6.0，复现JDK 1.7，漏洞CentOS 7。复现装完之后访问http://ip:7001/console能出登录页，漏洞这就算通了。复现漏洞点在_async/AsyncResponseService这个路径上，漏洞不需要登录就能打。

复现用的工具是网上公开的exp，核心就是一个XML payload。构造好之后直接POST到/_async/AsyncResponseService，Content-Type设成text/xml。payload里塞的是CommonsCollections链，触发点在WorkContext那个类上。发过去之后，如果目标没打补丁，服务器会执行你指定的命令。

我第一次打的时候没通，返回500。查了一下，发现是JDK版本的问题。10.3.6默认带的JDK是1.6，而CommonsCollections链需要1.7以上。换了JDK之后重新装了一遍，再打就通了。这个细节网上很多文章没提，但实际环境里经常踩坑。

命令执行成功的标志是返回包里没有报错，而且你可以通过DNSLog或者直接反弹shell来验证。我当时用的是touch /tmp/test，打完去服务器上看，文件确实建出来了。那一刻的感觉怎么说呢，就是“哦，果然能打”。

补丁方面，Oracle官方给的方案是升级到10.3.6.0.190418或者打对应的PSU。但现实情况是，很多生产环境不敢随便升级，怕影响业务。所以更常见的做法是在WAF层面拦_async路径，或者直接删掉AsyncResponseService相关的war包。我见过一个甲方，他们的做法是在负载均衡上把/_async/*全部返回403，简单粗暴但有效。

再说一个坑。有些环境虽然打了补丁，但如果你能找到一个未授权的wlw模块，还是有可能绕过去。CVE-2019-2725之后又出了CVE-2019-2729，就是绕过了之前的修复。所以复现的时候别只盯着一个payload，多试试不同的路径和协议。

最后提一句，复现漏洞这事，自己搭环境随便玩，别碰生产。我见过有人拿扫描器全网扫Weblogic，结果被请去喝茶的。技术本身没好坏，看你怎么用。