在创建线程池、缓存等对象时，我们可以使用单例模式来避免资源的浪费。但是如果你想要存储比如产品价格等全局数据的时候，单例模式就成了一种反面模式，要考虑用其他方法替代了。
为了达到不同应用的服务器共享、避免单点故障、集中管理、统一配置等目的，不以应用划分服务器，而是将所有服务器做统一使用，每台服务器都可以对多个应用提供服务，当某些应用访问量升高时，通过增加服务器节点达到整个服务器集群的性能提高，同时使他应用也会受益。该Web前端系统基于Apache/Lighttpd/Eginx等的虚拟主机平台，提供PHP程序运行环境。服务器对开发人员是透明的，不需要开发人员介入服务器管理
接受更新选择确认，直接输入“Next”，回车（此时Receive Security Update:[No]表示不接受安全更新）
大家好，我是ABC_123。春节前weblogic爆出了一个新的漏洞CVE-2023-21839，据说有攻击队曾用这个在野0day打穿了某银行目标。通过官方的漏洞描述来看，应该还是借助jndi来实现反序列化漏洞利用，所以此漏洞成功条件是目标一定要出网，而且T3或IIOP协议开放。与T3协议或IIOP协议相关的weblogic的0day漏洞近几年还会不断地公布出来，要想彻底解决这个漏洞，在不影响业务的前提下，最好还是禁用或者是屏蔽T3协议及IIOP协议。
目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁，目前看到的修复方法无非两条：
2 jdk-8u361-linux-x64.tar.gz java环境
weblogic.server.ServiceFailureException: Could not obtain an exclusive lock to the embedded LDAP data files directory: ./ainbs_proxy/ldap/ldapfiles because another WebLogic Server is already using this directory. Ensure that the first WebLogic Server is completely shutdown and restart the server. at weblogic.ldap.EmbeddedLDAP.ensureExclusiveAccess(EmbeddedLDAP.java:960) at weblogic.ldap.EmbeddedLDAP.initialize(EmbeddedLDAP.java:222) at weblogic.t3.srvr.T3Srvr.initializeHere(T3Srvr.java:815) at weblogic.t3.srvr.T3Srvr.initialize(T3Srvr.java:669) at weblogic.t3.srvr.T3Srvr.run(T3Srvr.java:343) at weblogic.Server.main(Server.java:32) > *************************************************************************** The WebLogic Server did not start up properly. Exception raised: 'weblogic.server.ServiceFailureException: Could not obtain an exclusive lock to the embedded LDAP data files directory: ./ainbs_proxy/ldap/ldapfiles because another WebLogic Server is already using this directory. Ensure that the first WebLogic Server is completely shutdown and restart the server.' Reason: weblogic.server.ServiceFailureException: Could not obtain an exclusive lock to the embedded LDAP data files directory: ./ainbs_proxy/ldap/ldapfiles because another WebLogic Server is already using this directory. Ensure that the first WebLogic Server is completely shutdown and restart the server. *************************************************************************** 进入目录./ainbs_proxy/ldap/ldapfiles 删除索 *lok 他 我所用的机器这个文件时0字节的
在日常的渗透测试、红队评估项目中，中间件层面的漏洞挖掘是非常重要一环，Weblogic中间件在最近几年接连被爆出很多高危漏洞，基本上都是可以直接拿到权限的。主流的Weblogic漏洞包括HTTP协议上的CVE-2017-10271、CVE-2019-2729等，但是其影响weblogic的版本为12.1.3之前版本。如果能事先判断出weblogic的版本号是大于12.1.3的，那么可以放弃测试这两种漏洞，节省很多时间。
1、下载183 MB压缩包 https://www.oracle.com/middleware/technologies/weblogic-server-downloads.html
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JavaEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
当访问 http://ip:7001 存在下图时，说明 weblogic 已成功启动
安装前提：首先在官网上下载安装包https://www.oracle.com/index.html下载10.3.6版本的在centos7.6上安装，关闭防火墙、selinux，安装jdk（Java SE Development Kit）
导读 ｜ RedHat安装WebLogic11g 一、安装JDK 切换到root用户，在安装盘server目录下执行 rpm -ivh java-1.6.0-openjdk-1.6.0.0-1.7.b09.el5.x86_64.rpm rpm -ivh java-1.6.0-openjdk-devel-1.6.0.0-1.7.b09.el5.x86_64.rpm 二、安装Weblogic 新建组 ：groupadd bea 新建用户 useradd -g bea -d /weblogic -m web
漏洞速览 腾讯云安全运营中心监测到， Oracle发布了2022年1月的安全更新补丁，包含Oracle产品系列中的497个新安全补丁。此次更新涉及Oracle WebLogic Server多个高危漏洞，包括CVE-2022-21306,CVE-2022-21292,CVE-2022-21371等。建议及时安装此补丁更新，和此公告中的其他补丁。 | 漏洞概述 WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是
有人说，Java确实过于臃肿，经常“小题大做”。但PHP、Node.js扩展方面短板太明显，做小应用可以，大型应用就玩不转了。 另外，Java EE领域有太多优秀框架可以解决开发效率的问题，事实上借用Spring等框架，开发的效率丝毫不亚于PHP。
阅读更多 http://dev2dev.bea.com.cn/bbs/thread.jspa?forumID=81&threadID=37385 Solaris 10 SPARC WebLogic
生产上经常会进行weblogic补丁升级操作，本文以升级补丁EJUW为例，weblogic版本为10.3.6.0.
常用linux脚本： Linux系统bash脚本获取系统硬件资源 Aix系统ksh脚本获取系统硬件资源 服务器打开session时显示帮助信息 curl post中带有变量的脚本 金三系统基线包安装部署脚本 Linux系统bash脚本获取系统硬件资源 #!/bin/sh echo "系统资源使用情况：以下各个数字均为百分比%" echo "CPU平均使用率：" top -n 3 b|grep 'Cpu(s)'|awk '{print $2}'|cut -d '%' -f 1|awk '{sum+= $1}
2021年1月20日，绿盟科技监测发现Oracle官方发布了2021年1月关键补丁更新公告CPU（Critical Patch Update），共修复了329个不同程度的漏洞，其中包括7个影响WebLogic的严重漏洞（CVE-2021-1994、CVE-2021-2047、CVE-2021-2064、CVE-2021-2108、CVE-2021-2075、CVE-2019-17195、CVE-2020-14756），未经身份验证的攻击者可通过此次的漏洞实现远程代码执行。CVSS评分均为9.8，利用复杂度低。建议用户尽快采取措施，对上述漏洞进行防护。
中间件(middleware)是基础软件的一大类, 属于可复用软件的范畴. 顾名思义,中间件处于操作系统软件与用户的应用软件的中间.
执行rpm –Uvh jdk-7u55-linux-x64.rpm安装64位的JDK1.7(在Linux64位上面安装32位的jdk，可能会遇到缺少.os文件的问题)
一、WebLogic的介绍 WebLogic是美国bea公司出品的一个application server，确切的说是一个基于Javaee架构的中间件，纯java开发的，最新版本WebLogic Server 9.0是迄今为止发布的最卓越的BEA应用服务器。BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。完全遵循J2EE 1.4规范。
Weblogic 12C 静默安装实施手册 目前我公司搭建的生产环境大多都是weblogic11g的版本，前段时间上海某地方银行项目组发来协助请求，需要安装weblogic12c的环境，自己在测试环境试了下，跟11g的版本差别很大，翻阅多篇网络上博文整理出这份安装文档，已在生产环境实施，在此谢过各位前辈的博文。 一、环境定义： 系统 ： Linux Redhat 6.4 Weblogic版本 ： weblogic 12.2.3.0 Weblogic安装目录： /home/weblogic/ doma
*本文原创作者：shewey，本文属FreeBuf原创奖励计划，未经许可禁止转载 1、引言 前段时间Java的反序列化漏洞吵得沸沸扬扬，因工作原因需要对weblogic进行安全配置，网上关于weblogic的安全配置的内容都不是很全面，可能是因为weblogic已经比较成熟了吧。本文就总结一下在整个过程中遇到的一些坑，并给出正确的姿势。 2、密码复杂度及更改周期策略 默认在安装时，weblogic要求密码至少为8位，但是没有限制密码复杂度。因此需要在安装时手工设置复杂的密码，weblogic11g时设置如下
关于weblogic密文的解密文章也有不少，最早看到的是之前乌云的一篇解密文章，后来oracle官方也出了解密脚本，还有国外大牛NetSPI写的工具，但经过多次试用发现并不能“通杀”式的解决所有weblogic密文，于是在查阅大量资料后整理了7种解密weblogic的方法。
BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应 用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
WebLogic是美国Oracle公司出品的一个Application Server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
Sun Microsystems是IT及互联网技术服务公司（已被甲骨文收购）Sun Microsystems 创建于1982年。
本 Chat 介绍 Weblogic 常见的漏洞，其中包括：弱口令、Java 反序列化、XMLdecoder 反序列化、SSRF 漏洞、任意文件上传，并根据其漏洞，使用 Docker+Vulhub 进行复现。
2019年4月17日，Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CVE-2019-2725）来势迅猛，如何发现和修复此漏洞备受业内人士关注，本文将为大家一一解开这些谜题。
北京时间4月18日凌晨，Oracle官方发布了4月份的关键补丁更新CPU（Critical Patch Update）,其中包含一个高危的远程代码执行漏洞(CVE-2018-2628)，通过该漏洞，攻击者可以在未授权的情况下远程执行任意代码。
镜像地址：dockerhub 构建之后要运行weblogic，需要使用官方提供的示例，参考上篇文章中间部分：利用Docker手动构建WebLogic镜像。
本次搭建使用的虚拟机，由于内存有限，我搭建的是第一种规划方案同一台服务器，如下：
WebLogic是美国Oracle公司出品一款中间件产品，在国内使用也比较广泛。从2015年开始至今，接连爆出过10几个可直接利用的Java反序列化漏洞，相关漏洞的原理也越来越复杂。每次应急响应过程中，遇到Oracle公司的产品都会特别头疼，因为其日志结构太过繁杂，相关介绍文档也很少，想弄明白是需要下一番功夫的。
近日在一个原本工作正常的weblogic web server(操作系统为redhat 64位系统)上折腾安装redis/hadoop等东东，yum install了一堆第3方类库后，重启weblogic时，发现nodemanager无法启动了，报错如下： 严重: Fatal error in node manager server weblogic.nodemanager.common.ConfigException: Native version is enabled but nodemanager n
4月21日，绿盟科技监测到Oracle官方发布了2021年4月关键补丁更新公告CPU（Critical Patch Update），共修复了400个不同程度的漏洞，其中包括4个影响WebLogic的高危漏洞，利用复杂度低，建议用户尽快采取措施，对此次的漏洞进行防护。
Shiro反序列化漏洞虽然出现很多年了，但是在平时的攻防比赛与红队评估项目中还是能遇到。主站也许遇不到Shiro漏洞，但是主站边缘域名、全资子公司的子域名、边缘资产、微信公众号、微信小程序啥的，总能找到。现在遇到的shiro反序列化漏洞也是越来越难了，好多都是别人搞不定的。搞不定的原因要么是key比较偏门，要么是过不了waf防护，要么就是找不到可用的利用链，导致没办法拿权限。
今日，Oracle官方发布WebLogic安全更新，其中修复了一个CVSS评分为9.8的严重漏洞(CVE-2020-14645)，该漏洞通过T3协议和IIOP协议进行利用，攻击者可以实现远程代码执行，进而控制服务器。由于漏洞利用复杂度低，风险高，建议尽快修复。
可参考官方说明：https://www.oracle.com/security-alerts/cpuapr2020.html
先git clone https://github.com/cnsimo/CVE-2020-2551.git克隆本项目到本地。
（1）获取镜像： docker pull ismaleiva90/weblogic12
Weblogic是Oracle公司推出的J2EE应用服务器。在2020年10月的更新中，Oracle官方修复了两个长亭科技安全研究员@voidfyoo 提交的安全漏洞，分别是CVE-2020-14882和CVE-2020-14883。
javax.naming.NoInitialContextException: Cannot instantiate class: weblogic.jndi.WLInitialContextFactory [Root exception is java.lang.ClassNotFoundException: weblogic.jndi.WLInitialContextFactory] 将WebLogic.jar添加到Add to library中。可是在执行时发现报错： 一：不自动识别jar为cla
Weblogic Server中的RMI 通信使用T3协议在Weblogic Server和其它Java程序（客户端或者其它Weblogic Server实例）之间传输数据, 服务器实例会跟踪连接到应用程序的每个Java虚拟机（JVM）中, 并创建T3协议通信连接, 将流量传输到Java虚拟机. T3协议在开放WebLogic控制台端口的应用上默认开启. 攻击者可以通过T3协议发送恶意的的反序列化数据, 进行反序列化, 实现对存在漏洞的weblogic组件的远程代码执行攻击。
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
北京时间7月18日，Oracle官方发布了7月份（第二季度）的关键补丁更新CPU（Critical Patch Update），其中修复了一个4月份（第一季度）CPU补丁中未能完全修复的Weblogic反序列化漏洞（CVE-2018-2628），但由于Weblogic采用黑名单的方式阻止恶意反序列化，仍存在被绕过的可能。请相关用户关注绿盟科技安全预警，在漏洞爆出时及时知晓，及时防护，减少因此漏洞造成的损失。
Weblogic-SSRF漏洞 环境准备 这里直接使用Vulhub/weblogic/ssrf 使用以下命令启动漏洞环境，访问http://ip:7001/uddiexplorer/，可以看到uddi
WebLogic是美国Oracle公司出品的一个Application Server，确切的说是一个基于JAVAEE架构的中间件，是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
