【中间件漏洞】(一)

最新推荐文章于 2025-08-25 22:41:54 发布

原创

最新推荐文章于 2025-08-25 22:41:54 发布 · 716 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#中间件 #web安全

Weblogic漏洞

关于中间件，可以理解为：是一类能够为一种或多种应用程序合作互通、资源共享，同时还能够为该应用程序提供相关的服务的软件。（注意：中间件是一类软件的总称，不是单独的一个软件）

一、漏洞列表

编号	类型	利用方式
无	弱口令、任意文件读取	获得密码进后台，传马
CVE-2018-2894	任意文件上传	后台传马getshell
CVE-2014-4210	SSRF	利用redis协议getshell
CVE-2020-14882	Console远程代码执行	GET、POST、XML
CVE-2018-2628	T3协议反序列化	RMI攻击，ysoserial工具
CVE-2017-10271	XMLDecoder反序列化	构造反弹payload
CVE-2023-21839	JNDI注入	和log4j一致

二、Weblogic 基本介绍

全名：Oracle WebLogic Server，JavaEE服务器
商业产品，适用于大型商业项目
同类产品：IBM WebSphere、Apache Tomcat、
Redhat Jboss
常见版本：
WebLogic Server 10.x ——11g
WebLogic Server 12.x ——12c
vulhub靶场——基于WebLogic Server 10.3.6
默认端口：7001

三、历史漏洞概况

CVE数据库-weblogic
https://www.cvedetails.com/vulnerability-list/vendor_id-93/product_id- 14534/Oracle-Weblogic-Server.html
多为反序列化漏洞
参考文章（奇安信CERT）
https://mp.weixin.