一、实验背景

WebLogic 是Oracle公司推出的企业级中间件，广泛应用于政府、金融、大型企业系统。CVE-2017-10271 是WebLogic历史上最知名的高危XMLDecoder反序列化漏洞，攻击者无需任何权限，即可远程执行任意系统命令，直接接管服务器。

本次实验全程在 Kali Linux 环境完成，从零带你走完端口探测→漏洞验证→命令执行全流程

二、环境与工具
 
1. 攻击机：Kali Linux 2025.4
2. 靶机：本地搭建存在漏洞的WebLogic 10版本，开放7001默认端口
​
3. 工具：Java反序列化漏洞利用工具V1.7（shack2版本）
​
4. 扫描工具：Zenmap（Nmap图形版）

三、第一步：端口存活探测

首先我们需要确认目标WebLogic服务是否正常开放运行。

1. 打开Kali自带Zenmap工具

​

2. 目标地址填写： 127.0.0.0 

​

3. 扫描模板选择： Intense scan ，执行命令： 

nmap -T4 -A -v 127.0.0.0 

 

扫描结果实拍：

 

- 成功发现开放端口：22/tcp（SSH）、7001/tcp（WebLogic专属端口）

​

- 确认7001端口正常监听，WebLogic服务在线，具备漏洞测试基础

四、第二步：目标服务网页访问测试
 
在Kali火狐浏览器访问靶机地址： 

 http://192.168.154.128:7001 

 
页面返回 Error 404--Not Found，这是WebLogic中间件的标志性默认404页面，证明：
 
1. WebLogic服务公网可直接访问
​
2. 未做IP访问白名单、未做基础权限拦截，风险极高

 五、第三步：漏洞存在性验证
 
接下来使用Java反序列化工局验证目标是否存在CVE-2017-10271漏洞。

1. Kali终端启动工具

2. 工具内下拉选择漏洞：

 CVE-2017-10271 Weblogic10 XMLDecoder反序列化漏洞 

​
3. 目标地址填入： 

http://127.0.0.0:7001/ 

​
4. 点击【检查】按钮
 
验证结果弹窗直接提示：存在漏洞
目标WebLogic确认受该漏洞影响，可直接进行远程命令执行利用。

 六、第四步：漏洞利用+远程命令执行RCE
 
漏洞确认存在后，切换到工具的【命令执行】标签页，直接拿下服务器权限：
 
1. 命令输入框输入Linux系统命令： ifconfig （查看服务器网卡、IP网络信息）
​
2. 编码格式选择 GBK ，解决中文回显乱码问题
​
3. 点击【执行】

 七、漏洞原理深度解析

漏洞成因

WebLogic 的  wls-wsat  组件，在处理XMLDecoder解析请求时，没有对用户传入的恶意XML数据做安全过滤，攻击者可以精心构造恶意序列化 payload，触发反序列化代码执行，绕过所有权限限制。

影响版本

- WebLogic 10.3.6.0

​

- WebLogic 12.1.3.0

​

- WebLogic 12.2.1.x 全系列旧版本

漏洞危害等级

- 高危 10/10 CVSS评分

​

- 无授权RCE，一键 getshell

​

- 可直接窃取服务器全部业务数据、植入后门、内网横向渗透

八、实验踩坑&问题解决

1. 终端大量java.io.IOException报错

​

- 原因：JDK版本不兼容、靶机网络短暂丢包、payload重试

​

- 解决：切换JDK1.8运行工具、关闭双方防火墙、重新重试即可

​

2. 网页访问7001端口404

​

- 属于正常现象，WebLogic未部署默认首页，不影响漏洞检测

​

3. 工具检测不到漏洞

​

- 核对目标端口、漏洞版本匹配，确认靶机是未打补丁的受影响版本

九、官方永久修复加固方案

1. 立即安装Oracle官方发布的CVE-2017-10271对应安全补丁

​

2. 升级WebLogic到最新的安全维护版本

​

3. 防火墙/安全组封禁公网直接访问7001、7002管理端口，仅放行内网可信IP

​

4. 业务无需wls-wsat组件的服务器，直接永久禁用该危险组件

​

5. WebLogic运行账户配置最小系统权限，降低权限泄露危害

​

6. 定期中间件漏洞扫描与补丁巡检

十、总结

本次通过完整实操，复现了WebLogic经典高危CVE-2017-10271漏洞，从端口探测、服务确认、漏洞验证到远程命令执行，全程直观可见。

这类老旧未修补的中间件漏洞，至今仍大量暴露在公网，也是网络攻击者的重点狩猎目标，企业务必重视中间件安全运维，及时消除安全隐患。