WebLogic是美国Oracle公司出品的一个application server,确切的说是一个基于JavaEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
网上有很多文章都说eclipse要安装额外的插件才能支持weblogic,可能以前需要这样,但自从bea的weblogic被oracle收购后,现在已经很简单了 一、先下载 Free Oracle WebLogic Server 12c (12.1.1) Zip Distribution and Installers for Developers http://www.oracle.com/technetwork/middleware/fusion-middleware/downloads/index.ht
Weblogic 12C 静默安装实施手册 目前我公司搭建的生产环境大多都是weblogic11g的版本,前段时间上海某地方银行项目组发来协助请求,需要安装weblogic12c的环境,自己在测试环境试了下,跟11g的版本差别很大,翻阅多篇网络上博文整理出这份安装文档,已在生产环境实施,在此谢过各位前辈的博文。 一、环境定义: 系统 : Linux Redhat 6.4 Weblogic版本 : weblogic 12.2.3.0 Weblogic安装目录: /home/weblogic/ doma
WannaMine是个“无文件”僵尸网络,在入侵过程中无任何文件落地,仅仅依靠WMI类属性存储ShellCode,并通过“永恒之蓝”漏洞攻击武器以及“Mimikatz+WMIExec”攻击组件进行横向渗透。相比较其他挖矿僵尸网络,WannaMine使用更为高级的攻击手段,这也是WannaMine能够存活至今的原因之一。WannaMine最早出现在公众视野是2017年底,在对WannaMine的持续跟踪中360分析人员发现,WannaMine可能已经开始为其他黑客组织提供武器。
导读 | RedHat安装WebLogic11g 一、安装JDK 切换到root用户,在安装盘server目录下执行 rpm -ivh java-1.6.0-openjdk-1.6.0.0-1.7.b09.el5.x86_64.rpm rpm -ivh java-1.6.0-openjdk-devel-1.6.0.0-1.7.b09.el5.x86_64.rpm 二、安装Weblogic 新建组 :groupadd bea 新建用户 useradd -g bea -d /weblogic -m web
Weblogic多域名配置--虚拟主机的配置 先指出一点,Weblogic 发布项目,如果不想要相对路径(如:http://127.0.0.1/test/),需要在WEB_INF目录下新建weblogic.xml。文件内容为:
Shiro反序列化漏洞虽然出现很多年了,但是在平时的攻防比赛与红队评估项目中还是能遇到。主站也许遇不到Shiro漏洞,但是主站边缘域名、全资子公司的子域名、边缘资产、微信公众号、微信小程序啥的,总能找到。现在遇到的shiro反序列化漏洞也是越来越难了,好多都是别人搞不定的。搞不定的原因要么是key比较偏门,要么是过不了waf防护,要么就是找不到可用的利用链,导致没办法拿权限。
需注意:fmw_12.1.3.0.0_wls.jar 需要jdk1.7.0_15以上的版本
前言:对于反代理这个词呢,总会想到nginx服务器,然而今天想让apache与nginx在同一个端口跑,不知道是我玩挂了还是nginx不稳定,时而正常时而~~,由于weblogic在多model的情况下url总是带有war_exploded的,然而我就尝试用apache2反代理到内网weblogic服务器。 ---- ****Step-One:使用a2enmod命令加载proxy模块**** sudo a2enmod proxy proxy_balancer proxy_http ---- ****Step
特征rememberMe 恶意 Cookie rememberMe值构造 前16字节的密钥 -> 后面加入序列化参数 -> AES加密 -> base64编码 -> 发送cookie Apache Shiro处理cookie的流程 得到rememberMe的cookie值 -> Base64解码 -> AES-128-CBC解密-> 反序列化(readobject)
众所周知,网络安全的本质是攻与防,不论谈及网络安全的哪一方面都必会涉及到攻与防。作为每年参加红蓝对抗的老司机,目睹了很多大型企业安全运营中存在的薄弱点,下面就以红队的视角下跟大家聊聊企业安全运营,希望能抛砖引玉,为网安事业添一片瓦。
有些时候渗透测试搞着搞着就陷入了无解状态,不知道再从哪儿下手了 故对渗透测试思路做个整理,后续有新的见解持续更新
前几天360冰刃实验室的研究员洪祯皓发现了一个Hyper-V的漏洞,由于漏洞危险级别高,影响范围广,微软在确认漏洞细节后第一时间确认奖金并致谢漏洞发现者。
•IP1:10.10.10.80•IP2:192.168.111.80•OS:Windows 2008•网站搭建:Weblogic 10.3.6 MSSQL 2008
java -jar weblog的jar包.jar -mode=console
系统 Linux Redhat 7.5 Weblogic版本 12.2.1.3 JDK 1.8.0_181 Weblogic安装目录 /app/weblogic/ domain域名 basicWLSDomain domain域目录 /app/weblogic/Oracle/Middleware12C/user_projects/domains/ 启动命令 /app/weblogic/Oracle/Middleware12C/user_projects/domains/basicWLSDomain/bin
WebLogic WLS组件中存在CVE-2017-10271远程代码执行漏洞,可以构造请求对运行WebLogic中间件的主机进行攻击,近期发现此漏洞的利用方式为传播挖矿程序。
为了达到不同应用的服务器共享、避免单点故障、集中管理、统一配置等目的,不以应用划分服务器,而是将所有服务器做统一使用,每台服务器都可以对多个应用提供服务,当某些应用访问量升高时,通过增加服务器节点达到整个服务器集群的性能提高,同时使他应用也会受益。该Web前端系统基于Apache/Lighttpd/Eginx等的虚拟主机平台,提供PHP程序运行环境。服务器对开发人员是透明的,不需要开发人员介入服务器管理
Weblogic是美国Oracle公司出品的一个应用服务器(application server),确切的说是一个基于Java EE架构的中间件,是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器
编者说明:这篇文章初稿写在Oracle CPU补丁发布之后,考虑到文章内容的影响,并未在当时发布,WebLogic 的 Java 反序列化漏洞,已经修复了多次,最终的修复仍然未彻底解决问题。
后期可以的话还会继续加功能的,主要是一些反序列化的poc真的不好写,我也不咋会..
BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应 用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
大家好,我是ABC_123。在上篇文章《记一次国护零失分的防守经验总结(上篇)》中,给大家分享了一些在国护防守中能够减少失分、实施简单而又能快速奏效的方法。本期参考之前的防守零失分的案例,继续探讨并分享其它的一些好用的方法。目前分享的是一些蓝队防守的关键点,随着总结的深入,这些点会慢慢形成面,最后会形成一个蓝队防守的体系。。
apache apache文件多后缀名解析漏洞 与其说这是一个漏洞,不如说这是一个特性,很多程序员不知道这种特性,所以会写出有问题的代码。 特性:多后缀名(全版本都有这个特性) apache在解析一个
之前看了SHIRO-721这个漏洞,然后这个漏洞和SHIRO-550有些关联,在SHIRO-550的利用方式中又看到了利用ysoserial中的JRMP exploit,然后又想起了RMI、JNDI、LDAP、JMX、JMS这些词。这些东西也看到了几次,也看过对应的文章,但把他们联想在一起时这些概念又好像交叉了一样容易混淆。网上的一些资料也比较零散与混乱,所以即使以前看过,没有放在一起看的话很容易混淆。下面是对RMI、JNDI、LDAP、JRMP、JMX、JMS一些资料的整理。
碎遮SZhe_Scan Web漏洞扫描器,基于python flask框架,对输入的域名或ip进行自动化信息收集于漏洞扫描,支持poc进行漏洞检测。
大家好,我是ABC_123。在日常的工作学,ABC_123写了很多的蓝队分析方面的小脚本小工具,来回切换工具太麻烦,对于内存马的编译、反编译、各种编码解码尤其麻烦,于是将这些小工具集合起来形成了现在的“蓝队分析研判工具箱”,重点解决蓝队分析工作中的一些痛点问习中题。
7. 对于数据包或者日志你的分析思路是什么,以及你会用到哪些工具或者那些网站进行查询?
从旁观者的角度了解整个WEB应用乃至整个目标的全貌,但是资产是收集不完的,可以边收集,边进行一定程度的测试。信息收集最小的粒度应是目录。
迫于目前现有的weblogic工具没怎么更新、payloay jdk适用版本等问题,所以基于superman18、sp4zcmd等项目,写一个weblogic工具,工具运行版本要求jdk 8,支持漏洞检测、命令执行、内存马注入、密码解密等(深信服深蓝实验室天威战队强力驱动)。
安装前提:首先在官网上下载安装包https://www.oracle.com/index.html下载10.3.6版本的在centos7.6上安装,关闭防火墙、selinux,安装jdk(Java SE Development Kit)
先膜tomato师傅出的题,偷马桶师傅出的题一直都是渗透思路,这点我是服的,顺手膜小m…因为在找真是ip这一步我花了十几个小时都失败了,当时的思路还留在博客里,算是个纪念吧…
Cobalt Strike巨龙拉冬插件9.0发布,让大家久等了,就当是程序员节礼物。原计划是Ladon8.0的时候出的,当时也实现了部份功能,但因为放在虚拟机里,可能误删了没备份,也因为各种事懒得重写,拖着拖着Ladon已出到9.0了,也想国庆写,但国庆又想上王者,于是又拖到最近两天才重写插件,CS右键已实现90%的功能部分功能请先在Beacon命令行使用。巨龙拉冬中文插件和Ladon英文插件的区别是右键菜单功能更全,英文的菜单让很多不熟的人,误以为Ladon并没让CS加强多少功能,而有些知道Ladon功能多的人,也误以为Ladon有很多乱七八槽的功能,最主要是文档不看,问我有没什么功能?如他想查询内网C段存在哪些WEB资产(网站、标题、Banner)等信息,问有没什么工具可以收集啊,然后他gitub找了一圈,哎呀这个工具是PYTHON的这个是GO的体积太大了,就一个功能还需要上传过去,不方便啊,最后来一句Ladon能不能加这个功能,我说兄弟能看看Ladon的文档吗?一个WebScan或WhatCMS搞定,用法和你们扫MS17010或OnlinePC一样简单但功能又强大,功能无论是博客文档还是GUI版上的WIKI都可以查看,问我有没有。现在功能又集成到CS插件右键上而且是中文的,希望下次不要再问我类似问题了,你们可以看到从右键菜单看Ladon功能更直观,觉得不乱了,你会发现那些功能都是实战要用的。因为有时候做不同的项目,有些模块可能用不到,时间久了我自己也忘记有这功能,然后去网上找,找着找着发现这功能我几年前写过,或Ladon里有,差点又重复造自己的轮子,所以觉得此中文版除了照顾大部分人,对于我可能也是需要的。总之一句话“Ladon在手,天下我有”,让你的它"Cobalt Strike"变成超级武器吧!不管你信不信,我反正信了。
这一年,蓝鲸平台从自动化运维平台,重新定义为研发运营一体化平台,实现了CI、CD、CO的IT管理全生命周期的打通。
*本文原创作者:shewey,本文属FreeBuf原创奖励计划,未经许可禁止转载 1、引言 前段时间Java的反序列化漏洞吵得沸沸扬扬,因工作原因需要对weblogic进行安全配置,网上关于weblogic的安全配置的内容都不是很全面,可能是因为weblogic已经比较成熟了吧。本文就总结一下在整个过程中遇到的一些坑,并给出正确的姿势。 2、密码复杂度及更改周期策略 默认在安装时,weblogic要求密码至少为8位,但是没有限制密码复杂度。因此需要在安装时手工设置复杂的密码,weblogic11g时设置如下
使用lcx或直接上线cs,建立隧道以便于对内网进一步进行攻击。(使用frp、nps也是一样的)
kali攻击机,Windows 2008(web服务),Windows 2012(DC域控),windows7 (PC机)。
接受更新选择确认,直接输入“Next”,回车(此时Receive Security Update:[No]表示不接受安全更新)
简单自我介绍一下,我是一个安全工程师,也是一个人的“安全部”。一个周五的晚上,我正在和小伙伴们在游戏中厮杀,还沉浸在躺赢快乐中的我突然接到紧急短信。
相比传统的 Java Web ,Spring Boot 极大简化了配置,并且遵守约定优于配置的原则即使0配置也能正常运行,是目前最流行的 Java Web 开发框架。
目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁,目前看到的修复方法无非两条:
1. 进入刚刚创建的WebLogic安装目录如:/root/Oracle/Middleware/wlserver_10.3/common/bin 并执行./config.sh,如下图:
今天发现的我程序出现了修改了,但是没有改变的情况,经过大师的指点,发现是发布模式没有改
weblogic安装后,很久不用,忘记访问控制台的用户名或者密码,可通过以下步骤来重置用户名密码。说明:%DOMAIN_HOME%:指WebLogic Server 域(Domain)目录 例如我的做测试的域的根目DOMAIN_HOME=D:\oracle\Middleware\user_projects\domains\base_domain
1.adminServer配置 base_domain/servers/AdminServer下新建文件夹security 同时里面创建一个新的文件boot.properties
大家在进行web开发的时候,都希望自己修改的内容在不手动编译、不重启服务的时候立即生效,这样可以极大的方便开发和调试。这个就是我今天要讲的weblogic的热部署。
中间件(middleware)是基础软件的一大类, 属于可复用软件的范畴. 顾名思义,中间件处于操作系统软件与用户的应用软件的中间.
领取专属 10元无门槛券
手把手带您无忧上云