Shiro反序列化漏洞虽然出现很多年了，但是在平时的攻防比赛与红队评估项目中还是能遇到。主站也许遇不到Shiro漏洞，但是主站边缘域名、全资子公司的子域名、边缘资产、微信公众号、微信小程序啥的，总能找到。现在遇到的shiro反序列化漏洞也是越来越难了，好多都是别人搞不定的。搞不定的原因要么是key比较偏门，要么是过不了waf防护，要么就是找不到可用的利用链，导致没办法拿权限。
序列化是让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。
Weblogic反序列化漏洞是一个经典的漏洞系列，根源在于Weblogic（及其他很多java服务器应用）在通信过程中传输数据对象，涉及到序列化和反序列化操作，如果能找到某个类在反序列化过程中能执行某些奇怪的代码，就有可能通过控制这些代码达到RCE的效果。随着每次补丁的修复，很多Weblogic反序列化的思路都被封禁了，但是跟Struts2系列漏洞不同的是，Weblogic漏洞由于涉及的面比较广，所以近几年还是持续有新出漏洞的，这也体现了挖掘出新漏洞的高手们对java语言理解之深。目前在做渗透测试时，Weblogic漏洞用来攻击没打补丁的系统会比较有效。
编者说明：这篇文章初稿写在Oracle CPU补丁发布之后，考虑到文章内容的影响，并未在当时发布，WebLogic 的 Java 反序列化漏洞，已经修复了多次，最终的修复仍然未彻底解决问题。
01 背景 Oracle官方在修补老的Weblogic反序列化漏洞时，将已经在互联网上暴露的PoC都加入了黑名单，所以若是绕过他的黑名单限制就依旧可以触发命令执行。接下来我们简单分析一下本次漏洞的成因，具体的weblogic反序列化漏洞原理这里不做具体分析，之后可以分享一次专题。这里我们来看看InboundMsgAbbrev中resolveProxyClass的实现，resolveProxyClass是处理rmi接口类型的，只判断了java.rmi.registry.Registry，其实随便
Oracle发布了4月份的补丁，详情见链接(https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html#AppendixFMW)
2015年11月6日，FoxGlove Security安全团队的@breenmachine 发布的一篇博客中介绍了如何利用Java反序列化漏洞，来攻击最新版的WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些大名鼎鼎的Java应用，实现远程代码执行。
Weblogic-SSRF漏洞 环境准备 这里直接使用Vulhub/weblogic/ssrf 使用以下命令启动漏洞环境，访问http://ip:7001/uddiexplorer/，可以看到uddi
本 Chat 介绍 Weblogic 常见的漏洞，其中包括：弱口令、Java 反序列化、XMLdecoder 反序列化、SSRF 漏洞、任意文件上传，并根据其漏洞，使用 Docker+Vulhub 进行复现。
该视频是前三月做的一次直播课，主要讲解了Weblogic漏洞复现，使用docker来做的环境，进行的复现，现在分享出来供大家学习，希望能够帮助到大家。下面是学习目录，稍微有一丢丢丢的出入。
序列化是把对象转换为字节序列的过程，反序列化是把字节序列恢复为对象的过程。JAVA 序列化和反序列化主要解决了两个问题：1、把对象的字节序列永久地保存到硬盘或数据库中，实现对象的持久化存储；2、通过网络上传送对象的字节序列实现 JAVA 对象实例的网络传输。
大多数 java 项目用来处理数据基本上都是xml 和 json 两种格式，上篇讲了fastjson的反序列化，另一个json处理库jackson的漏洞原理和利用方式类似。
近日，互联网爆出WebLogicwls9-async反序列化远程命令执行漏洞。攻击者利用该漏洞，可在未授权的情况下远程执行命令。该漏洞危害程度为高危(High)。目前，官方补丁尚未发布，漏洞细节未公开。
Oracle七月发布的安全更新中，包含了一个Weblogic的反序列化RCE漏洞，编号CVE-2020-14645，CVS评分9.8。
序列化与反序列化是让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。主要应用在以下场景：
WebLogic是美国Oracle公司出品的一个application server，是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
Weblogic是美国Oracle公司出品的一个Application Server，确切的说是一个基于JavaEE架构的中间件，Weblogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
大家好，我是ABC_123。前两期分享了《第14篇：Struts2框架下Log4j2漏洞检测方法分析与总结》、《第15篇：内网横向中windows各端口远程登录哈希传递的方法总结》，本期讲解一个Weblogic拿权限案例。
WebLogic是美国Oracle公司出品的一个application server,确切的说是一个基于JAVAEE架构的中间件。主要用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。近几年频繁爆发出多个RCE漏洞，而在今年，其T3协议被频繁攻击和发布补丁与绕过，本文主要对今年来由T3协议入口所产生的多个RCE漏洞进行分析，其中主要包括CVE-2020-2555、 CVE-2020-2883(bypass CVE-2020-2555补丁)、 CVE-2020-14645 (bypass CVE-2020-2883补丁)。
生成wlfullclient.jar包：来到wlserver\server\lib下运行java -jar ../../modules/com.bea.core.jarbuilder.jar将在lib目录下生成一个wlfullclient.jar包，该jar包包含了weblogic的基本所有功能类，用于IIOP协议发包，有效解决了jar包冲突问题
4月17日，国家信息安全漏洞共享平台（CNVD）公开了Weblogic反序列化远程代码执行漏洞（CNVD-C-2019-48814）。由于在反序列化处理输入信息的过程中存在缺陷，未经授权的攻击者可以发送精心构造的恶意 HTTP 请求，利用该漏洞获取服务器权限，实现远程代码执行。目前，POC已在野外公开（见参考链接）。官方紧急补丁（CVE-2019-2725）已于4月26日发布，请受影响主机及时修复漏洞。
先git clone https://github.com/cnsimo/CVE-2020-2551.git克隆本项目到本地。
nmap为我们提供了较为精准的端口和服务探测的功能，如果我们在探测到某些端口或者服务的同时顺带检测下是否含有曾经爆出的漏洞呢？本期将以Weblogic < 10.3.6 ‘wls-wsat’ XMLDecoder 反序列化漏洞为例子，为大家介绍如何用NSE来编写渗透脚本。 0x01 http 库的介绍 由于本次Weblogic 反序列化漏洞这个例子是以HTTP请求的方式来发送POC和相关请求，所以需要先掌握http库的使用。 1. 实现一个HTTP中的get方法 local http = require "
通过调用Intellij Idea、CFR、Procyon、JD-Core、JDK等5种反编译工具接口，分别对Base64加密的class文件、转成Byte数组的class文件、BECL编码的class文件、Base64编码+Gzip编码的class文件、原版class文件反编译成java代码，方便蓝队人员分析异常流量中的内存马代码。
近日，国家信息安全漏洞共享平台（CNVD）收录了Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CNVD-C-2019-48814）。部分版本WebLogic中默认包含的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意 HTTP 请求，获得目标服务器的权限，在未授权的情况下远程执行命令。
简单自我介绍一下，我是一个安全工程师，也是一个人的“安全部”。一个周五的晚上，我正在和小伙伴们在游戏中厮杀，还沉浸在躺赢快乐中的我突然接到紧急短信。
序列化与反序列化目的是为了让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信，对象持久化存储。
接着上一节，说说Weblogic中的XMLDecoder反序列化（CVE-2017-3506),其实关于这个漏洞后续还有多个绕过，CVE编号分别为：CVE-2017-10271、CVE-2019-2725
Lib之过？Java反序列化漏洞通用利用分析 转自：https://blog.chaitin.cn/2015-11-11_java_unserialize_rce/
最近几天一直在审计Java漏洞，周六周天也没休息，所以上周文章就没写，今天抽空写一篇文章补上。在最近几年的攻防比赛、红队评估项目、渗透测试中，fastjson反序列化漏洞是一个非常常见的漏洞，和shiro反序列化漏洞一样，几乎每次比赛都能遇到，很多白帽子、攻击队队员都用这个漏洞拿到过权限。
判断方式：先判断是通过什么方法注入的内存马，可以先查看web日志是否有可疑的web访问日志，如果是filter或者listener类型就会有大量url请求路径相同参数不同的，或者页面不存在但是返回200的，查看是否有类似哥斯拉、冰蝎相同的url请求，哥斯拉和冰蝎的内存马注入流量特征与普通webshell的流量特征基本吻合。通过查找返回200的url路径对比web目录下是否真实存在文件，如不存在大概率为内存马。如在web日志中并未发现异常，可以排查是否为中间件漏洞导致代码执行注入内存马，排查中间件的error.log日志查看是否有可疑的报错
安恒信息 网络安全前沿资讯、 应急响应解决方案、技术热点深度解读 漏洞安全公告 2018年4月17日，Oracle官方发布了2018年4月安全更新公告，包含了其家族Fusion Middleware、Financial Services Applications、MySQL等多个产品的安全漏洞公告。 其中有一个Oracle WebLogic Server的远程代码执行漏洞，对应CVE编号：CVE-2018-2628，漏洞公告链接： http://www.oracle.com/technetwork/sec
这个漏洞最先由某厂商报给某银行，某银行再将该信息报给CNVD，后CNVD通告：“国家信息安全漏洞共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CNVD-C-2019-48814）”。Oracle官方也破例了一回，提前发了补丁，但是这个补丁只是针对10.3.6系列的，对于12版本系列还未披露补丁。所以还是请各位谨慎对待，勒索大军跃跃欲试。
WebLogic是美国Oracle公司出品的一个application server确切的说是一个基于JAVAEE架构的中间件，BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
WebLogic是美国Oracle公司出品一款中间件产品，在国内使用也比较广泛。从2015年开始至今，接连爆出过10几个可直接利用的Java反序列化漏洞，相关漏洞的原理也越来越复杂。每次应急响应过程中，遇到Oracle公司的产品都会特别头疼，因为其日志结构太过繁杂，相关介绍文档也很少，想弄明白是需要下一番功夫的。
Oracle官方在北京时间2018年4月18日凌晨发布了关键补丁更新，其中包含了OracleWebLogic Server的一个高危反序列化漏洞（CVE-2018-2628），通过该漏洞，攻击者可以在未授权的情况下远程执行代码。
目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁，目前看到的修复方法无非两条：
大家好，我是ABC_123。“蓝队分析研判工具箱”就是把我平时写的蓝队小工具集合起来形成的，重点解决蓝队分析工作中的一些痛点问题。此版本添加溯源分析功能、佛法shadon搜索功能、查看图片经纬度地理位置等功能，对所有文本框添加右键菜单，解决mac及jdk高版本兼容问题，很多其它功能如日志分析、聚合分析、接口查询由于时间关系未能完成，后续再继续更新。
近日，国家信息安全漏洞共享平台（CNVD）公开了Weblogic反序列化远程代码执行漏洞（CNVD-C-2019-48814），延续了前几年不断爆出的Weblogic反序列化漏洞历史。趁此机会我们来总结分析一下，这些漏洞都是些啥？ ▶▶WebLogic是干嘛的？ WebLogic是美国甲骨文（Oracle）公司的一款知名应用服务中间件，它被用来开发、集成、部署和管理多种大型分布式系统，极大的方便了系统管理，以及简化部署步骤，在世界范围内被广泛运用。在中国常见于电信、政府行业和金融行业。 CNVD秘书处对W
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
大家好，我是ABC_123。“蓝队分析研判工具箱”就是把我平时写的蓝队小工具集合起来形成的，重点解决蓝队分析工作中的一些痛点问题。此0.72版本添加溯源分析功能、网空资产测绘功能：包括Hunter、佛法、VirusTotal、Censys、Shadon、Zoomeye、Quake、微步威胁情报搜索功能，查看图片经纬度地理位置等功能，对所有文本框添加右键菜单，解决Linux、mac及jdk高版本兼容问题，很多其它功能如日志分析、聚合分析、接口查询由于时间关系未能完成，后续再继续更新。文末会给出ABC_123的官方Github下载地址，后续会持续在github发布该工具的最新版本。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
