九游老哥云
Weblogic 反序列化远程代码执行误差(CVE-2018-2628) 手艺剖析与防护计划
2018-04-18
综述
外地时间4月17日，北京时间4月18日破晓，Oracle官方宣布了4月份的要害补丁更新CPU（Critical Patch Update）其中包括一个高危的Weblogic反序列化误差(CVE-2018-2628)，通过该误差，攻击者可以在未授权的情形下远程执行恣意代码。
参考链接：
http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
误差影响规模
l Weblogic 10.3.6.0
l Weblogic 12.1.3.0
l Weblogic 12.2.1.2
l Weblogic 12.2.1.3
凭证NTI（九游老哥态势感知平台）反响的效果，在全球规模内对互联网开放weblogic服务的资产数目多达19229，其中归属中国地区的受影响资产为1787。
对应中国归属各省市的的漫衍情形如下图所示，北京地区开放的资产数目较多。
手艺防护计划
用户自查
使用如下下令检查Weblogic版本是否在受影响规模内：
$ cd /lopt/bea92sp2/weblogic92/server/lib
$java -cp weblogic.jar weblogic.version
同时检查是否对外开放了7001端口（Weblogic默认端口）。
官方修复计划
官方已经在今日宣布的要害补丁更新中修复了该误差，请用户实时下载更新举行防护。
参考链接：
http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
注：Oracle官方补丁需要用户持有正版软件的允许账号，使用该账号上岸https://support.oracle.com后，可以下载最新补丁。
暂时解决计划
CVE-2018-2628误差使用的第一步是与Weblogic服务器开放在服务端口上的T3服务建设socket毗连，可通过控制T3协议的会见来暂时阻断攻击行为。WebLogic Server 提供了名为weblogic.security.net.ConnectionFilterImpl 的默认毗连筛选器。此毗连筛选器接受所有传入毗连，可通过此毗连筛选器设置规则，对t3及t3s协议举行会见控制。。
1. 进入Weblogic控制台，在base_domain的设置页面中，进入“清静”选项卡页面，点击“筛选器”，进入毗连筛选器设置。
2. 在毗连筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在毗连筛选器规则中输入：* * 7001 deny t3 t3s
3. 生涯后规则即可生效，无需重新启动。
|
毗连筛选器规则名堂如：target localAddress localPort action protocols，其中： l target 指定一个或多个要筛选的服务器。 l localAddress 可界说服务器的主机地点。(若是指定为一个星号 (*)，则返回的匹配效果将是所有外地 IP 地点。) l localPort 界说服务器正在监听的端口。(若是指定了星号，则匹配返回的效果将是服务器上所有可用的端口)。 l action 指定要执行的操作。(值必需为“allow”或“deny”。) l protocols 是要举行匹配的协议名列表。(必需指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或 ftp。) 若是未界说协议，则所有协议都将与一个规则匹配。 |
九游老哥科技防护建议
九游老哥科技检测类产品与服务
1、公网资产可使用九游老哥云 紧迫误差在线检测，检测地点如下：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12
2、内网资产可以使用九游老哥科技的入侵检测系统(IDS)，远程清静评估系统（RSAS V6）和Web应用误差扫描系统（WVSS） 举行检测。
- 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
- 远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
通过上述链接，升级至最新版本即可举行检测
使用九游老哥科技防护类产品（IPS/NF）举行防护：
- 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
- 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
通过上述链接，升级至最新版本即可举行防护！
TRG清静平台提供应急响应手册
1. TSA（九游老哥态势感知平台）
进入BSA态势感知主页，进入规则引擎APP，如图1.1.
图1.1进入规则引擎APP
1.2 新建规则
图 1.2 新建规则
1.3 再新建页面
规则模式：专家模式
规则分类：网络入侵规则
规则sql：
select sip dip sum(last_times) as atk_count sip dip min(timestamp) as start_time max(timestamp) as end_time concat_agg(related_id_list) as related_id_list
from internal_app_bsaips.ipslog
where rule_id in (2417424022236142307421757217582145629116303122368563299232676262760689663446163666197661896619560862)
group by sip dip
图1.3 新建规则-专家模式填写
1.4 点击下一步，泛起规则属性设置页面
名称：weblogic误差攻击实验
清静品级：中
事务阶段：侦查
超时时间：1800（默认值）
一连时间：3600（默认值）
合并属性：sip，dip
事务类型：系统入侵事务- 误差攻击
规则形貌：该事务是攻击者对weblogic服务器误差做攻击实验。
规则建议：若是攻击提倡者为我方资产，则说明该资产已失陷。不然，如被攻击系统为我方资产，并且安排有weblogic服务，请确认是该资产是否保存事务详情中的误差。
图1.4 新建规则-规则属性设置
点击完成，完成该规则设置。
1.5 在规则列表中使之生效
图1.5 使规则生效
2. ESP（九游老哥企业清静平台）
2.1 添加“weblogic误差攻击实验”事务规则
翻开ESP九游老哥企业清静平台，进入 量化剖析-> 事务剖析-> 事务规则，点击“建设规则”，如图2.1所示，弹出如图2.2所示的建设规则窗口。
图2.1 选择建设规则
2.2 在[建设规则->基本设置]中填入以下信息
规则名称：weblogic误差攻击实验
日志类型：入侵防护日志
窗口设置：空缺（默认）
规则形貌：该事务是攻击者对weblogic服务器误差做攻击实验。若是攻击提倡者为我方资产，则说明该资产已失陷。不然，如被攻击系统为我方资产，并且安排有weblogic服务，请确认是该资产是否保存事务详情中的误差。
图2.2 建设规则-基本设置
2.3 点击下一步，在[建设规则->建设规则]中填入以下信息
选中[过滤条件(where)]
[告警事务规则]属性in(2417424022236142307421757217582145629116303122368563299232676262760689663446163666197661896619560862)
图2.3 建设规则-规则设置
2.4 点击下一步，在[建设规则->事务设置]中填入以下信息
事务类型：攻击入侵（只使用该装备告警不可确认攻击是否乐成，只能判断是针对系统中可能保存的weblogic服务误差的攻击实验）
危害品级：3
图2.4 建设规则-事务设置
2.5 点击建设，完陋习则建设
图2.5 规则建设完成后效果
3. TAM新版本（九游老哥全流量剖析平台）
添加“weblogic误差攻击实验”事务规则
3.1 进入全流量事务规则设置文件文件目录(/home/bsauser/BSA/apps/bsa_tam2/conf)，备份mergeconf.xml文件，然后使用vi翻开mergeconf.xml文件
图3.1翻开全流量事务规则设置文件
3.2 用utf-8编码名堂的编辑器翻开“全流量平台规则_weblogic误差攻击实验事务.xml”，复制其中的内容插入到rules节点中，并坚持退出，新规则自动生效。
图3.2插入新规则到rules节点
互联网资产影响排查
九游老哥科技威胁情报中心提供对互联网开放网络资产信息审查的功效，企业用户可通过在NTI上检索自有资产信息端口开放情形，审查企业资产是否受此误差影响。
九游老哥科技威胁情报中心为企业客户提供互联网资产核查服务，使得企业客户能够实时掌握自身资产的清静态势以及资产变换情形，服务详情可咨询：NTI@nsfocus.com，或者咨询对应的客户司理。
手艺剖析
误差简析
该服务会解包Object结构，通过一步步的readObject去第二步服务器上的1099端口请求恶意封装的代码。
然后在外地弹出盘算器。
Weblogic已经将互联网袒露的PoC都已经加入了黑名单，若是要绕过他的黑名单的限制就只能自己下手结构。来看看InboundMsgAbbrev中resolveProxyClass的实现，resolveProxyClass是处置惩罚rmi接口类型的，只判断了java.rmi.registry.Registry，着实随便找一个rmi接口即可绕过。
|
protected Class resolveProxyClass(String[] interfaces) throws IOException ClassNotFoundException { String[] arr$ = interfaces; int len$ = interfaces.length;
for(int i$ = 0; i$ < len$; ++i$) { String intf = arr$[i$]; if(intf.equals("java.rmi.registry.Registry")) { throw new InvalidObjectException("Unauthorized proxy deserialization"); } }
return super.resolveProxyClass(interfaces); }
|
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
