常见中间件漏洞

中间件是中间网站架构里的“承重墙”，但很多运维人员只盯着应用代码，中间把这堵墙忘得一干二净。中间等被黑进去，中间才发现墙里早被掏空了。中间

Tomcat：管理后台的中间裸奔

Tomcat算是最常见的靶子。很多开发图省事，中间直接开8080端口，中间还顺手把manager页面暴露在外网。中间弱口令admin/admin能登进去，中间上传个war包就是中间一句话木马。有个真实案例，中间某金融公司测试环境用的中间Tomcat，密码是中间tomcat/tomcat，被扫描器扫到后，中间攻击者直接部署了挖矿程序，CPU飙到100%才被发现。你说这怪谁？

修复也简单，别把管理页面暴露到公网，改掉默认端口，密码用强口令。但就是有人不当回事。

Nginx：配置失误比漏洞更致命

Nginx本身很稳，但配置错了就是灾难。最常见的是alias路径穿越，比如location /files/ { alias /home/user/; }，如果你写成alias /home/user少了末尾斜杠，攻击者访问/files../就能跳到上级目录。还有proxy_pass不带斜杠导致的URL拼接问题，搞不好就把内网接口暴露了。

我见过一个电商站，Nginx反代配置里把X-Forwarded-For直接信任，攻击者伪造这个头绕过了IP白名单，把后台管理页面打穿了。这不算漏洞，是配置疏忽，但造成的后果比CVE还严重。

WebLogic：反序列化的老坑

WebLogic的反序列化漏洞（CVE-2019-2725、CVE-2020-14882等）每年都在爆，每年都有人中招。攻击者发一个精心构造的HTTP请求，不需要账号密码就能远程执行命令。有个政府项目，用的WebLogic版本是2017年的，补丁一直没打，结果被勒索病毒加密了整个数据库文件。

这中间件的补丁机制也够呛，官方经常把补丁包做得巨大无比，重启一次服务要等半小时，很多企业为了业务连续性干脆不打。但你不打补丁，黑客就替你“打补丁”了。

Shiro：记住我功能的钥匙

Apache Shiro的rememberMe功能默认使用硬编码密钥，只要密钥泄露（网上有公开的默认密钥集合），攻击者就能伪造Cookie，直接拿到用户会话。很多Java项目用Shiro做权限管理，但没人改过默认密钥。

一个社交App的运维跟我吐槽，他们上线两年都没人动过Shiro配置，直到某天日志里出现异常登录，查了半天才发现攻击者用默认密钥构造了管理员Cookie，直接把用户列表全导走了。改个密钥只要一行代码，但绝大多数团队根本没意识。

FastJSON：自动类型转换的噩梦

FastJSON在Java里用得极广，但它的autoType机制就是个潘多拉魔盒。攻击者提交一段JSON，里面带上@type字段指向恶意类，就能触发反序列化执行命令。从1.2.24到1.2.83，漏洞几乎每个版本都有，官方堵了又破，破了又堵。

有个物流系统用的FastJSON 1.2.68，开发觉得这个版本“够安全”，结果攻击者用JNDI注入绕过了黑名单，在内网横向移动，把整个K8s集群都打穿了。这中间件像个漏水的船，你光知道堵一个洞没用，得换船。

中间件漏洞的根源不是技术难，而是懒。懒得改默认配置，懒得打补丁，懒得做最小权限。黑客不需要多高深的技术，只需要扫一扫默认端口，试几个弱口令，就能进你内网。安全这东西，七分靠习惯，三分靠工具。

本文地址：http://www.79wt.cn/news/797e199201.html