weblogic漏洞

2015年10月，漏洞一个编号为CVE-2015-4852的漏洞漏洞被公开。当时没人想到，漏洞这个基于Java反序列化的漏洞缺陷，会在之后几年里像传染病一样席卷全球企业内网。漏洞WebLogic是漏洞Oracle家的应用服务器，金融、漏洞电信、漏洞政府系统里遍地都是漏洞。攻击者只需要向7001端口发送一段精心构造的漏洞二进制数据，就能在服务器上执行任意命令——不需要账号，漏洞不需要交互，漏洞就像拿万能钥匙开了扇后门。漏洞

我见过最讽刺的漏洞案例是某银行的内网。安全团队明明装了防护设备，漏洞但流量加密后，检测规则全成了摆设。攻击者用漏洞拿下了一个边缘节点，然后横向移动，最后摸到了核心数据库。整个过程中，WebLogic的日志干净得像什么都没发生。这玩意儿的日志设计得极其简陋，反序列化攻击根本不记录攻击载荷，事后溯源全靠运气。

漏洞的根源在于Java的ObjectInputStream类。它允许从字节流中直接还原对象，却不过滤类是否安全。攻击者可以构造一个恶意对象链，让readObject()方法在还原过程中触发危险操作。说白了，就是信任了不该信任的输入。Oracle的补丁倒是出得勤快，但架不住用户不升级——很多生产系统跑了好几年，重启一次都得审批半个月，更别说打补丁了。

更麻烦的是，同一个根因换层皮又能接着用。CVE-2015-4852被修复后，CVE-2016-0638绕过补丁，接着CVE-2017-3248换条路径，再到CVE-2018-2628换个协议。安全圈管这叫"补丁猫鼠游戏"，每个漏洞公告出来，黑产团队几小时内就能写出利用工具。你甚至能在暗网上买到打包好的攻击框架，点几下鼠标就能入侵未打补丁的系统。

有个细节特别能说明问题。某次应急响应中，我检查一台被攻陷的WebLogic服务器，发现攻击者留下的脚本里写着"如果目标版本是10.3.6，用这个payload；如果是12.1.3，换那个"。他们对版本的了解比大多数运维都清楚。而这台服务器只是某个OA系统的前端，真正的数据在内网深处——但攻击者早就通过它拿到了跳板。

要说防护，最土的办法反而最有效：把WebLogic的7001端口封死，只允许内网访问。但很多业务系统需要对外提供服务，于是只能加访问控制列表。防火墙规则能挡住扫描，挡不住已授权的请求。真正治本的办法是升级到新版本并禁用T3协议，可这又牵扯到兼容性——老系统跟新版本经常不兼容，改代码的成本比买安全设备高多了。

说到底，WebLogic漏洞就像老房子里的白蚁。你喷药杀一批，过阵子又从墙缝里钻出来。Oracle后来把反序列化过滤器做成了默认开启，但默认配置依然不够严格。我见过太多企业，明明有解决方案，却因为"稳定优先"的运维策略，硬是把漏洞拖成了长期风险。你说这怪谁？怪业务不能停？还是怪安全预算永远排在功能需求后面？

对了，还有个冷知识。这个漏洞的利用代码里经常出现"com.bea.core.repackaged.springframework"这种包名，那是WebLogic自带的一个旧版Spring组件。你看，连中间件自己都带着历史包袱，更别提跑在它上面的那些年久失修的Java应用了。