中间件常见漏洞之weblogic 1

简介: 中间件常见漏洞之weblogic

0x01 Weblogic简介

Weblogic 是美国 Oracle 公司出品的应用服务器软件,确切的说这是基于 Java EE 架构的中间件,主要用于开发、继承、部署和管理大型分布式 web 应用、网络应用和数据库应用。Weblogic 将 Java 的动态功能和 Java Enterprise 标准的安全性引入大型网络应用的开发、集成、部署和管理之中,是商业市场上主要的 Java 应用服务器软件之一,也是世界上第一个成功商业化的 Java EE 应用服务器,当然 Weblogic 具有可扩展性、快速开发、灵活可靠等优势,其默认端口为7001,目前比较活跃的版本为10和12,最新版本为14。在功能性上,Weblogic 是 Java EE 的全能应用服务器,包括 EJB、JSP、servlet、JMS 等,是商业软件中排名第一的容器(JSP、servlet、EJB等),并提供其他工具(例如Java编辑器),因此也是一个综合的开发以及运行环境。在扩展性上,Weblogic Server 凭借出色的群集技术,拥有处理关键 web 应用系统问题所需的性能、扩展性和高可用性。Weblogic Server 既实现了网页集群,也实现了EJB组件群集,而且不需要任何专门的硬件或操作系统支持。网页群集可以实现透明的复制、负载平衡以及表示内容容错。无论是网页群集还是组建群集,对于电子商务解决方案所要求的可扩展性和可用性都是至关重要的。

0x02 Weblogic安装


下载地址:https://www.oracle.com/middleware/technologies/weblogic-server-installers-downloads.htm

Weblogic 最新的版本需要jdk1.8以上,如果jdk版本为1.8以下,可能会出现无法安装的情况。经过测试 weblogic 版本为 12.1.3 可在jdk 1.7版本下可以安装。而 weblogic 版本为10.3.6及以下可在jdk 1.6版本下可以安装。weblogic 10.3.6安装在官网下载模块中选择一个版本进行下载

我选择的是 10.3.6 的 Generic 版本

1、开始安装weblogic,直接开始下一步

2、选择典型进行安装

3、查看相关概要后继续下一步

4、安装完成weblogic

5、点击开始weblogic server

6、创建新的weblogic域

7、生成自动配置的weblogic域,点击下一步

8、选择默认的域名和域位置即可

9、设置账号密码为weblogic/admin123.

10、选择开发默认,并制定可用的jdk版本

11、点击管理服务器和受管服务器、集群和计算机

12、访问端口和网络都为默认配置

13、之后安装完成

14、找到启动 cmd 文件,点击开启 Weblogic

15、填入账号密码后成功开启 Weblogic

16、访问http://192.168.0.105:7001/,开启成功

控制台地址为http://192.168.0.105:7001/console/

weblogic 12.1.3安装Weblogic 12版本的安装与10版本的安装稍微有些不同,可安装jdk后运行以下命令进行安装


java -jar fmw_12.1.3.0.0_wls.jar

如果执行报错,是因为 Windows 默认会使用 jre 环境,而不是jdk环境,可将其放置到 jdk 环境下再运行

1、开始安装 Weblogic

2、一直下一步到此点击安装完成

3、开始配置 Weblogic 域

4、设置账号密码为weblogic/admin123.

5、选择生产模式

6、配置节点管理器和管理服务器

7、选择默认管理服务器配置

8、一直下一步即可安装完成

9、找到启动 cmd 文件,点击后开启 Weblogic

10、运行需输入之前的账号密码

11、访问http://192.168.0.111:7001/,开启成功

12 版本的控制台界面与 10 版本也略有不同,在渗透时可轻易分辨


目录
相关文章
|
11月前
|
Web App开发 安全 Java
WebLogic Server 远程代码执行漏洞(CVE-2021-2109)
WebLogic Server 远程代码执行漏洞,攻击者可通过使用恶意Payload对目标服务器实施攻击并接管服务器获取执行权限。
279 1
|
11月前
|
安全 Java 应用服务中间件
WebLogic Server 远程代码执行漏洞(CVE-2023-21839/CNVD-2023-04389)
WebLogic Server 存在远程代码执行漏洞,攻击者通过特定Payload对目标服务器进行恶意利用从而获取服务器控制权限,进一步操作。
288 1
|
3月前
|
安全 Oracle 关系型数据库
Oracle WebLogic Server远程代码执行漏洞 CVE-2020-14750 已亲自复现_cve-2020-14750漏洞复现
Oracle WebLogic Server远程代码执行漏洞 CVE-2020-14750 已亲自复现_cve-2020-14750漏洞复现
|
3月前
|
开发框架 安全 中间件
38、中间件漏洞解析-IIS6.0
38、中间件漏洞解析-IIS6.0
49 0
|
11月前
|
XML 安全 Java
WebLogic EJBTaglibDescriptor XXE漏洞(CVE-2019-2888)
WebLogic EJBTaglibDescriptor 在反序列化的同时会进行XML解析,通过重写EJBTaglibDescriptor中的writeExternal函数生成恶意的序列化数据。
197 1
H8
|
12月前
|
安全 网络协议 Java
跨语言的艺术:Weblogic 序列化漏洞和 IIOP 协议
Weblogic序列化漏洞主要依赖于T3和IIOP协议,在通信交互方面存在诸多问题,如跨语言、网络传输等,给漏洞检测和利用带来诸多不便。在WhiteHat Labs的理念中,漏洞检测和利用是一项创造性的工作,应该以最简洁高效的方式实现,以保证漏洞的跨平台性和实用性。因此,我们实现了跨语言的IIOP协议通信方案来解决序列化漏洞问题。
H8
235 4
|
XML 安全 Oracle
干货 | 最全最详细的Weblogic漏洞总结(建议收藏)
干货 | 最全最详细的Weblogic漏洞总结(建议收藏)
3865 0
|
安全 NoSQL Shell
Weblogic ssrf漏洞复现---从0到1
利用Ubuntu16.04,安装docker,要以root身份执行
239 0
Weblogic ssrf漏洞复现---从0到1
|
XML 安全 Oracle
Weblogic IIOP协议反序列化(CVE-2020-2551)漏洞复现
Weblogic IIOP协议反序列化(CVE-2020-2551)漏洞复现
1027 0
|
XML 安全 Oracle
Weblogic XMLDecoder 远程代码执行漏洞 CVE-2017-10271 漏洞复现
Weblogic XMLDecoder 远程代码执行漏洞 CVE-2017-10271 漏洞复现
139 0