WebLogic安全演进：从CVE-2017-3506到CVE-2017-10271的补丁攻防启示录

1. 漏洞背景与影响范围

2017年曝光的WebLogic WLS组件漏洞（CVE-2017-3506）及其后续变种（CVE-2017-10271）堪称中间件安全领域的标志性事件。这两个漏洞均存在于WebLogic的WLS Security子组件中，攻击者通过精心构造的XML数据即可实现远程代码执行（RCE），直接影响以下版本：

• Oracle WebLogic Server 10.3.6.0.0
• Oracle WebLogic Server 12.1.3.0.0
• Oracle WebLogic Server 12.2.1.1.0
• Oracle WebLogic Server 12.2.1.2.0

漏洞入口点主要涉及以下URL路径：

/wls-wsat/CoordinatorPortType /wls-wsat/CoordinatorPortType11 /wls-wsat/ParticipantPortType /wls-wsat/ParticipantPortType11

2. 漏洞原理深度解析

2.1 XMLDecoder反序列化机制

WebLogic的WLS-WSAT组件在处理SOAP请求时，使用XMLDecoder对用户传入的XML数据进行反序列化。当恶意XML包含特定标签时，会触发Java对象的不安全实例化。

典型攻击载荷结构：

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header> <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> <java> <void class="java.lang.ProcessBuilder"> <array class="java.lang.String" length="3"> <void index="0"><string>/bin/bash</string></void> <void index="1"><string>-c</string></void> <void index="2"><string>恶意命令</string></void> </array> <void method="start"/> </void> </java> </work:WorkContext> </soapenv:Header> <soapenv:Body/> </soapenv:Envelope>

2.2 补丁演进对比分析

CVE-2017-3506初始补丁

Oracle在2017年4月发布的补丁中增加了validate函数，主要检测XML中是否包含<object>标签：

private void validate(InputStream is) { WebLogicSAXParserFactory factory = new WebLogicSAXParserFactory(); try { SAXParser parser = factory.newSAXParser(); parser.parse(is, new DefaultHandler() { public void startElement(String uri, String localName, String qName, Attributes attributes) throws SAXException { if (qName.equalsIgnoreCase("object")) { throw new IllegalStateException("Invalid context type: object"); } } }); } catch (Exception e) { throw new IllegalStateException("Parser Exception", e); } }

CVE-2017-10271绕过补丁

攻击者发现将<object>替换为<void>或<array>标签即可绕过检测。Oracle在10月补丁中扩展了黑名单：

if (qName.equalsIgnoreCase("object")) { throw new IllegalStateException("Invalid element qName:object"); } else if (qName.equalsIgnoreCase("new")) { throw new IllegalStateException("Invalid element qName:new"); } else if (qName.equalsIgnoreCase("method")) { throw new IllegalStateException("Invalid element qName:method"); } else if (qName.equalsIgnoreCase("void")) { // 额外校验void标签的属性 }

3. 漏洞利用技术对比

4. 防御方案演进

4.1 临时缓解措施

• 组件删除（适用于非必需场景）：

  rm -f $MIDDLEWARE_HOME/wlserver_10.3/server/lib/wls-wsat.war rm -f $DOMAIN_HOME/servers/AdminServer/tmp/.internal/wls-wsat.war rm -rf $DOMAIN_HOME/servers/AdminServer/tmp/_WL_internal/wls-wsat

• 网络层控制：

  • 配置防火墙规则限制/wls-wsat/*路径的外部访问
  • 启用WebLogic自带的网络通道过滤器

4.2 补丁策略优化

从这两个漏洞的修复过程可以看出：

1. 黑名单机制的局限性：单纯依赖标签名过滤容易被绕过
2. 深度防御的必要性：后期补丁增加了对标签属性的校验
3. 白名单的优势：理想方案应定义合法标签集合而非拦截恶意标签

5. 安全开发启示录

1. 反序列化安全黄金法则：

   • 避免使用危险类（如ProcessBuilder、Runtime）
   • 实施严格的类型限制
   • 考虑使用安全替代方案（如JSON）

2. 补丁设计要点：

   // 更安全的验证逻辑示例 private static final Set<String> ALLOWED_TAGS = Set.of("string", "int", "boolean"); // 明确定义白名单 void validateElement(String tagName) { if (!ALLOWED_TAGS.contains(tagName)) { throw new SecurityException("Unsupported tag: " + tagName); } }

3. 企业防护建议：

   • 建立漏洞情报监控机制
   • 制定补丁分级响应流程
   • 对关键中间件实施网络隔离
   • 定期进行安全配置审计

注：实际环境中建议结合WAF规则（如拦截包含<java>标签的SOAP请求）形成多层防御。

6. 检测与响应

漏洞检测方法：

1. 被动检测：

   • 检查wls-wsat组件是否存在：

     curl -I http://target:7001/wls-wsat/CoordinatorPortType11

   • 验证补丁安装情况：

     opatch lsinventory | grep -E 'WLS|WebLogic'

2. 主动检测：

   • 使用合规扫描工具（如Qualys、Nessus）
   • 实施RASP方案监控异常反序列化行为

入侵指标(IOC)：

• 日志中出现异常XML解析错误
• _WL_internal目录下出现异常JSP文件
• 系统进程出现异常命令行参数

7. 现代防御体系构建

结合这两个漏洞的教训，现代中间件安全防护应包含：

1. 运行时保护：

   • Java Security Manager策略强化
   • JVM字节码校验（如Java Agent方案）

2. 架构优化：

   graph TD A[客户端] --> B[WAF] B --> C[反向代理] C --> D[WebLogic集群] D --> E[网络隔离区]

3. 持续监测：

   • 部署EDR解决方案
   • 建立SOAP请求审计日志
   • 实施异常行为分析

这两个漏洞的攻防历程生动展现了安全对抗的持续性。防御者需要从攻击链的每个环节（输入验证、数据处理、系统权限等）实施纵深防御，才能有效应对不断演变的威胁。