2024年6月12日发(作者：)

weblogic反序列化漏洞原理

WebLogic是Oracle公司推出的一款Java EE应用服

务器，在企业级应用开发中较为常用。然而，在2016年3

月，WebLogic爆出了一起反序列化漏洞的事件，从此，这

个漏洞成为了Java应用中最为危险的漏洞之一。本文将介

绍WebLogic反序列化漏洞的原理，以及如何发现和修复此

漏洞。

1. 反序列化的概念

反序列化是将序列化的数据还原为原始数据的过程。

在Java中，对象可以被序列化成一个字节流，并可以传输

到网络中或写入到硬盘中。被传输或写入的字节流可以在

远程计算机上重新实例化为原始对象。这个过程是通过

Java中的ObjectInput/Output Stream实现的。

最常用的反序列化漏洞，通常在攻击者能够发送恶意

的数据包到目标服务器并在服务器执行之前利用Java反序

列化失败之前的漏洞，将攻击者的数据传递到远程Code执

行环境中，并在服务器上利用此漏洞获得执行代码的能

力。

2. WebLogic反序列化漏洞的原理

2.1 Apache Commons-collections4库的反序列化漏

洞

这个漏洞是通过对WebLogic中Apache Commons-

collections4库的反序列化解析器的利用，导致WebLogic

服务器受到攻击的。Apache Commons-collections4库是

WebLogic应用程序中经常使用的一个用于收集Java对象的

集合库。攻击者可以通过传输一个特别构造的精心捆绑的

字节流，在WebLogic中的Apache Commons-collections4

库的反序列化处理程序上执行恶意代码。

2.2 正在运行中的恶意代码

攻击者可以利用反序列化漏洞，使WebLogic服务器运

行在他们的控制下。一旦攻击者可以在WebLogic服务器上

执行恶意代码，他们可以做任何他们想做的事情，例如更

改、窃取或破坏数据。

3. 如何预防WebLogic反序列化漏洞

以下是预防WebLogic反序列化漏洞的一些措施：

3.1 更新WebLogic服务器版本

更新WebLogic服务器版本可以帮助预防反序列化漏

洞。在WebLogic 10.3.6.0.0版本之后，Oracle已经加入

了一个包含反序列化漏洞修复的补丁进行了更新。Update

安全补丁，建议及时更新程序，安装最新的WebLogic

Server Patch Set Update安全补丁，以确保 WebLogic

Server 系统的安全性。

3.2 禁用危险的反序列化

根据应用程序的需要，尽可能禁用Java反序列化。反

序列化允许您将对象的字符流转换为实际的Java对象。由

于反序列化是由单个类负责的，因此在反序列化中的错误

或漏洞可能会导致程序生产中的错误。当禁止反序列化

时，您可以避免不必要的风险，从而更安全地保护应用程

序，以及您的服务器和数据。

3.3 避免使用Apache Commons-collections4库

Apache Commons-collections4库是反序列化漏洞的

最普遍来源之一。 在WebLogic服务器上，为了保护您的

应用程序，建议避免使用该库，并考虑使用更安全的库来

代替。

4. 漏洞修复

如果您已经发现了WebLogic反序列化漏洞，您可以通

过以下方法进行修复：

4.1 更新WebLogic服务器版本

为了方便，Oracle提供了一份最新的WebLogic服务

器安全更新包。您可以下载该安全漏洞程序包，然后将其

应用到WebLogic服务器以修复漏洞。

4.2 删除不再需要的应用程序

经常检查WebLogic中的所有应用程序，并删除那些您

不再需要的应用程序。这将帮助减少可能存在的漏洞。

5. 总结

在WebLogic服务器上，反序列化漏洞很危险。攻击者

可以在服务器上执行任意代码来破坏服务器、窃取数据或

更改数据。只需更新WebLogic服务器版本、禁用不必要的

反序列化、禁止使用Apache Commons-collections4库，

并删除未使用的应用程序，即可避免反序列化漏洞。