weblogic反序列化漏洞测试与解决

一、测试

java -jar CommonsCollectionsTools.jar weblogic 192.168.0.11 7001 F:/a.txt

执行该操作后，如果该IP上的电脑生成a.txt文件，证明漏洞存在(此命令为window下操作，linux下修改文件路径，暂未测试)。

测试jar下载地址：http://download.youkuaiyun.com/detail/gongzi2311/9434503

二、解决

1.快速解决

找到..\weblogic\Middleware\modules\com.bea.core.apache.commons.collections_3.2.0.jar 并打开，

找到里面的 org\apache\commons\collections\functors\InvokerTransformer.class

然后删除，保存即可。重新测试发现不能生成文件，漏洞暂时解决。

2.补丁解决

需下载p20780171_1036_Generic.zip、p22248372_1036012_Generic.zip这两个补丁包，并安装。

补丁包下载：http://pan.baidu.com/s/1i3Oy7Ox