oracle 7月份更新 CVE-2020-14625 复现&利用

Posted 2020-12-16 UnicodeSec

危害

绕过T3黑名单 ，复活ysoserial gadget利用

diff补丁

首先下载7月份补丁，与四月份对比，发现有以下不同之处

com.oracle.wls.shaded.org.apache.xalan.xsltc.trax

我们看一下这个类的代码

从名字，还有代码我们可以看出，其实这是一个黑名单绕过。但是不知道什么原因，这次才被添加到黑名单

利用

很简单，我们以shiro反序列化来做例子

payload打过去，是无法利用得，原因如图

很简单，黑名单拦截了

黑名单如下

!org.codehaus.groovy.runtime.ConvertedClosure;!org.codehaus.groovy.runtime.ConversionHandler;!org.codehaus.groovy.runtime.MethodClosure;!org.springframework.transaction.support.AbstractPlatformTransactionManager;!java.rmi.server.UnicastRemoteObject;!java.rmi.server.RemoteObjectInvocationHandler;!com.bea.core.repackaged.springframework.transaction.support.AbstractPlatformTransactionManager;!java.rmi.server.RemoteObject;!org.apache.commons.collections.functors.*;!com.sun.org.apache.xalan.internal.xsltc.trax.*;!javassist.*;!java.rmi.activation.*;!sun.rmi.server.*;!org.jboss.interceptor.builder.*;!org.jboss.interceptor.reader.*;!org.jboss.interceptor.proxy.*;!org.jboss.interceptor.spi.metadata.*;!org.jboss.interceptor.spi.model.*;!com.bea.core.repackaged.springframework.aop.aspectj.*;!com.bea.core.repackaged.springframework.aop.aspectj.annotation.*;!com.bea.core.repackaged.springframework.aop.aspectj.autoproxy.*;!com.bea.core.repackaged.springframework.beans.factory.support.*;!org.python.core.*

而我们可以发现，这次黑名单的类，没有在黑名单中出现，所以我们可以魔改一下ysoserial

成功绕过黑名单

后期有时间的话，可能会放出针对这次weblogic更新的利用工具