内容摘要：```html 2017年12月，Oracle推送了一个WebLogic反序列化漏洞的补丁，编号CVE-2017-3248。当时很多人没当回事。结果三个月后，大量未更新的WebLogic服务器被批量扫

```html

2017年12月，中间主漏Oracle推送了一个WebLogic反序列化漏洞的中间主漏补丁，编号CVE-2017-3248。中间主漏当时很多人没当回事。中间主漏结果三个月后，中间主漏大量未更新的中间主漏WebLogic服务器被批量扫描、批量getshell，中间主漏攻击流量大到Cloudflare都发了告警。中间主漏这事让我意识到，中间主漏WebLogic的中间主漏漏洞不是"偶尔出问题"，而是中间主漏它架构里埋着结构性隐患——尤其是反序列化和协议解析这两块。

先说反序列化。中间主漏WebLogic的中间主漏T3协议和IIOP协议天生支持Java对象序列化传输，这本来是中间主漏为了分布式调用方便。问题在于，中间主漏它没有对反序列化的类做严格白名单过滤。攻击者构造一个恶意序列化对象，通过T3协议发给WebLogic的7001端口，服务端反序列化时就会触发任意代码执行。CVE-2015-4852是这个套路的开山之作，用的是Commons Collections库。后来Oracle加了黑名单，但黑名单这东西你也知道，绕过的姿势比修复的速度快。CVE-2018-2628、CVE-2018-2893、CVE-2019-2725、CVE-2020-2551……几乎每年都有新的绕过链。我印象最深的是CVE-2019-2725，它绕过了之前的黑名单，利用的是WebLogic自带的`weblogic.utils.classloaders`包，不需要第三方库，直接打穿。那段时间我帮客户做应急，发现很多服务器还在跑10.3.6，连Java 7都没升级，基本等于裸奔。

另一个重灾区是XMLDecoder。CVE-2017-3506和CVE-2017-10271都是这个点。WebLogic的WLS-WebServices组件在处理SOAP请求时，用了XMLDecoder来反序列化XML数据。XMLDecoder这个东西，设计上就是能调用任意Java方法。攻击者发一个精心构造的SOAP请求，就能执行命令。这个漏洞的利用工具在GitHub上满天飞，我见过最离谱的案例是，一台暴露在公网的WebLogic服务器，被挖矿木马入侵后，CPU跑满，运维还以为是业务量上涨。

再说文件上传和SSRF。CVE-2018-2894是个任意文件上传，影响WebLogic的Web Service Test Page。这个测试页面默认在7001端口开放，路径是`/ws_utc/config.do`。攻击者可以上传一个JSP文件，然后直接访问执行。Oracle的补丁是把这个页面禁用了，但很多管理员根本不知道这个页面的存在。我扫过一批IP，发现至少三成服务器这个页面还活着。SSRF的话，CVE-2014-4210是个典型，通过`SearchPublicRegistries.jsp`可以探测内网。这个漏洞本身危害有限，但配合内网的其他服务，能打出组合拳。

还有一类是JNDI注入。CVE-2021-2109和CVE-2021-2394都是这个类型。攻击者通过T3协议发送恶意JNDI lookup请求，让WebLogic去加载远程的恶意类。这个手法和Log4Shell有点像，但WebLogic的这个漏洞比Log4Shell早了好几年。Oracle的修复方式是限制T3协议的反序列化类，但T3协议本身还在用，所以总有新的绕过。

说点个人观察。WebLogic的漏洞之所以多，根子上是因为它太老了。核心架构从BEA时代就没大改过，T3协议、IIOP协议、XMLDecoder这些组件都是十几年前的设计，当时的安全模型和现在完全不是一回事。Oracle的补丁策略也有问题，它喜欢用黑名单，但黑名单永远滞后。更麻烦的是，WebLogic的补丁经常不兼容旧版本，很多企业不敢随便升级，怕影响业务。我见过一个银行客户，还在用WebLogic 8.1，Java 1.4，理由是"业务系统太老，升级就崩"。

如果你现在还在管WebLogic，我的建议很直接：第一，别把7001端口暴露在公网，这是底线。第二，如果非要用T3协议，在防火墙层面限制来源IP。第三，关注Oracle的CPU补丁，但别指望它万能，该上的WAF和RASP还是要上。第四，定期扫一下`/ws_utc`和`/console`这些路径，看看有没有不该开的东西。WebLogic的漏洞不会消失，你只能让自己不是最容易的那个目标。

```