当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0165135
漏洞标题：
浙江省人社厅存在Java反序列化漏洞#多个网站完全沦陷#可挂马/获取数据库信息
相关厂商：
cncert国家互联网应急中心
漏洞作者：
路人甲
提交时间：
2015-12-28 11:40
修复时间：
2016-02-12 18:49
公开时间：
2016-02-12 18:49
漏洞类型：
系统/服务补丁不及时
危害等级：
高
自评Rank：
20
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-12-28： 细节已通知厂商并且等待厂商处理中
2015-12-31： 厂商已经确认，细节仅向厂商公开
2016-01-10： 细节向核心白帽子及相关领域专家公开
2016-01-20： 细节向普通白帽子公开
2016-01-30： 细节向实习白帽子公开
2016-02-12： 细节向公众公开

简要描述：

Java反序列化之weblogic，求高Rank！还没上过首页的说……

详细说明：

#:敏感部门，测试过程点到为止……特此声明
0x01 漏洞描述

浙江省人力资源和社会保障局服务器存在Java反序列化漏洞，其服务器存在多个网站，网站均已沦陷


0x02 漏洞地址

**.**.**.**


0x03 漏洞详细
检测到服务器为Weblogic，测试过之后有java反序列化漏洞，于是利用反弹脚本weblogic.py干脆直接反弹shell到我的主机上，

)GDON`)0$D1I0UK9ER6]91F.png


成功实现NC反弹

7A{6S}S3O{@2U6J@(_}0BIA.png


于是执行一下命令看看，发现是root权限，且已是内网ip

Q]WLLG]AEQJ~NY241~(EI_A.png


既然是root权限，新建个用户test111试试，成功创建，

注意：请厂商自行删除


$2KU)@8@J8I4A{)XYAR81XK.png


查看一下内网网段存活主机，发现不少机器，可做内网渗透，这里不做测试

X_P~QAKA9XX}@0JMGS2A`O5.png

漏洞证明：

0x04 网站搜索
查看一下目录，发现是weblogic目录，直接跳到/home目录下看，发现网站目录

8WQ{S3DF0{PB0A8OF{W{BA2.png

DID_ZAE_`O`(O_~4N@$B0RN.png


看来除了weblogic还有其他站点存在，所用的中间件是Tomcat，接下来进行网站分析
经过查看网站目录以及配置等相关信息，发现tomcat对应网站

http://**.**.**.**/

75JDR%TR6[)){0U`FS2EXOY.png


搜寻weblogic网站目录，发现有网站

http://**.**.**.**/


以及浙江省人社局官方网站

http://**.**.**.**/

目录

3(F)[88K{6`H%0_HSY38$J8.png


寻找相关敏感信息、相关配置文件

ESE][{KWLACOCF%%CR%]O1A.png


数据库用户名密码

DCM]X`I%@X$ARJJRP$5}YKO.png


等等信息太多、就到这里吧、基本这台服务器就算是完全沦陷，然后上传木马（直接就vi写木马即可），然后能拿到的数据就不用多说了。我不习惯去挖什么个人社保信息什么的信息、就点到为止！
厂商求20rank！OVER！

修复方案：

网上给出了解决方案，具体方案请自行选择一个合适的

版权声明：转载请注明来源 路人甲@乌云

>

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-12-31 19:52

厂商回复：

CNVD确认所述情况，已经转由CNCERT下发给浙江分中心，由其后续协调网站管理单位处置。

最新状态：

暂无