weblogic Java反序列化漏洞測試和解決

1、測試

Java -jar CommonsCollectionsTools.jar weblogic 192.168.0.11 7001 F:/a.txt

執行該操做後，若是該IP上的電腦生成a.txt文件，證實漏洞存在(此命令爲window下操做，linux下修改文件路徑，暫未測試)。

 

測試jar下載地址：http://download.csdn.net/detail/gongzi2311/9434503

2、解決

一、  替換java包解決應用層面問題。方法是使用官方提供的4.4.1 版本commons-collections4-4.1.jar包替換應用lib目錄下的commons-collections.jar，再重啓應用。

二、解決中間件層面問題。

方法一：升級weblogic補丁包，升級weblogic 10.3.6.12的補丁包p22248372_1036012_Generic.zip，直接安裝補丁便可，但不支持10.3.6.12以前的版本，若是是老版本，先升級到 10.3.6.12再打補丁，或要用方法二。  

方法二：刪除特定文件。 找到..\weblogic\Middleware\modules\com.bea.core.apache.commons.collections_3.2.0.jar 並打開，jar 包 內 org/apache/commons/collections/functors/InvokerTransformer.class文件，不要直接解壓縮後打開再從新包，這樣會有問題。要直接用壓縮工具軟件打開後直接刪除。特別注意若是集羣環境，要所有停掉再執行此操做纔有效，不然會被緩存的文件覆蓋回原始包。