网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

CVE-2023-21931 漏洞原理相同，CVE-2023-21839 也是在反序列化过程中没有进行恶意操作，而是完成反序列化过程后执行了漏洞类 ForeignOpaqueReference 中 getReferent ( ) 方法中的 lookup ( ) 才触发的漏洞。

在 Goby 中，我们已经集成了 CVE-2023-21839 漏洞，并添加了回显以及反弹 Shell 的功能。以下是演示效果：

0 × 06   时间线

CVE-2023-21931

2022 年 8 月 12 日 漏洞提交官方

2022 年 8 月 19 日 漏洞官方确认

2023 年 4 月 18 日 漏洞官方修复

CVE-2023-21839

2022 年 7 月 31 日 漏洞提交官方

2022 年 8 月 5 日 漏洞官方确认

2023 年 1 月 16 日 漏洞官方修复

0 × 07   研究环境

Vulfocus Weblogic 环境

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.2.1.2.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.2.1.1.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.2.1.3.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.2.1.4.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.2.1.0.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:14.1.1.0.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.1.2.0.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:12.1.3.0.0-jdk-release

docker   pull   vulfocus/vcpe-1.0-a-oracle-weblogic:10.3.6.0-j

0 × 08   参考

1. Java" 后反序列化漏洞 " 利用思路 - Ruilin

2. Ruil1n/after-deserialization-attack: Java After-Deserialization Attack

本文中演示的漏洞与功能适配 Goby 版本：Beta 2.4.7，已支持 Goby 红队版、漏扫版扫描验证。最新版本下载体验：https://gobysec.net/