[TOC] # XML Decoder反序列化漏洞（CVE-2017-10271） ## 漏洞描述 CVE-2017-10271漏洞产生的原因是Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。攻击者发送精心构造的xml数据甚至能通过反弹shell拿到权限。 ## 漏洞检测 工具利用 --- XML反序列化漏洞检查工具 脚本利用 --- CVE-2017-10271-poc.py Burp抓包传入数据验证 ## 漏洞地址 /wls-wsat/CoordinatorPortType /wls-wsat/RegistrationPortTypeRPC /wls-wsat/ParticipantPortType /wls-wsat/RegistrationRequesterPortType /wls-wsat/CoordinatorPortType11 /wls-wsat/RegistrationPortTypeRPC11 /wls-wsat/ParticipantPortType11 /wls-wsat/RegistrationRequesterPortType11 ## 漏洞防御 1、 升级版本； 2、 删除WebLogic wls-wsat组件； ``` C:\Oracle\Middleware\wlserver_10.3\server\lib\ wls-wsat.war C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\tmp\.internal\ wls-wsat.war C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\tmp\_WL_internal\wls-wsat ``` ## 流量特征 ~~~ 1、poyload的会存在放请求体中，带有明文的 2、带有明文的请求体的poyload中会有要执行的命令 ~~~