https 漏洞如何控制开放HTTPS服务的weblogic服务器

https 漏洞  时间:2022-03-02  阅读:()

如何控制开放HTTPS服务的weblogic服务器

使用SSL网关提供HTTPS服务 当使用SSL网关提供HTTPS服务时,网络架构如下图所示(无关的设备已省略,下同)。 SSL网关只会向后转发HTTP协议的数据,不会将T3协议数据转发至weblogic服务器,因此在该场景中,无法通过公网利用weblogic的JAVA反序列化漏洞。 使用负载均衡提供HTTPS服务 当使用负载均衡提供HTTPS服务时,网络架构如下图所示。 安全起见,负载均衡应选择转发HTTP协议而不是TCP协议,因此在该场景中,也无法通过公网利用weblogic的JAVA反序列化漏洞。 使用web代理提供HTTPS服务 当使用web代理(如apache、nginx等)提供HTTPS服务时,网络架构如下图所示。 web代理只会向后转发HTTP协议的数据,因此在该场景中,也无法通过公网利用weblogic的JAVA反序列化漏洞。 使用weblogic提供HTTPS服务 当使用weblogic提供HTTPS服务时,网络架构如下图所示。 weblogic能够接收到利用SSL加密后的T3协议数据,因此在该场景中,通过公网能够利用weblogic的JAVA反序列化漏洞。 根据上述分析,仅当HTTPS服务由weblogic提供时,才能够利用其JAVA反序列化漏洞。 0x02 weblogic开放SSL服务时的T3协议格式分析 利用weblogic的JAVA反序列化漏洞时,必须向weblogic发送T3协议头。为了能够利用提供SSL服务的weblogic的JAVA反序列化漏洞,需要首先分析当weblogic提供SSL服务时的T3协议格式。 SSL数据包为加密的形式,无法直接进行分析,需要进行解密。当已知SSL私钥时,可以利用Wireshark对SSL通信数据进行解密。 weblogic可以使用演示SSL证书提供SSL服务,也可以使用指定SSL证书提供SSL服务。 可以使用两种方法进行分析,一是使用weblogic提供的演示SSL证书进行分析,二是使用自己生成的SSL证书进行分析。 使用weblogic演示证书进行分析(方法一) 使用weblogic演示证书开放SSL服务 登录weblogic控制台,将AdminServer的“启用SSL监听端口”钩选,并填入SSL监听端口号。 查看AdminServer的密钥库配置,确认为“演示标识和演示信任”(Demo Identity and Demo Trust),可以看到演示密钥库的文件名为“DemoIdentity.jks”,演示信任密钥库文件名为“DemoTrust.jks”。 查看AdminServer的SSL配置,可以看到演示密钥库的私钥别名为“DemoIdentity”。 使用HTTPS方式登录weblogic控制台,确认可以正常登录。

牦牛云(3.5USD/月 )阿里云国际版云服务器 1核1G40G

收到好多消息,让我聊一下阿里云国际版本,作为一个阿里云死忠粉,之前用的服务器都是阿里云国内版的VPS主机,对于现在火热的阿里云国际版,这段时间了解了下,觉得还是有很多部分可以聊的,毕竟,实名制的服务器规则导致国际版无需实名这一特点被无限放大。以前也写过几篇综合性的阿里云国际版vps的分析,其中有一点得到很多人的认同,那句是阿里云不管国内版还是国际版的IO读写速度实在不敢恭维,相对意义上的,如果在这...

SoftShellWeb:台湾(台北)VPS年付49美元起,荷兰VPS年付24美元起

SoftShellWeb是一家2019年成立的国外主机商,商家在英格兰注册,提供的产品包括虚拟主机和VPS,其中VPS基于KVM架构,采用SSD硬盘,提供IPv4+IPv6,可选美国(圣何塞)、荷兰(阿姆斯特丹)和台湾(台北)等机房。商家近期推出台湾和荷兰年付特价VPS主机,其中台湾VPS最低年付49美元,荷兰VPS年付24美元起。台湾VPSCPU:1core内存:2GB硬盘:20GB SSD流量...

EtherNetservers年付仅10美元,美国洛杉矶VPS/1核512M内存10GB硬盘1Gpbs端口月流量500GB/2个IP

EtherNetservers是一家成立于2013年的英国主机商,提供基于OpenVZ和KVM架构的VPS,数据中心包括美国洛杉矶、新泽西和杰克逊维尔,商家支持使用PayPal、支付宝等付款方式,提供 60 天退款保证,这在IDC行业来说很少见,也可见商家对自家产品很有信心。有需要便宜VPS、多IP VPS的朋友可以关注一下。优惠码SUMMER-VPS-15 (终身 15% 的折扣)SUMMER-...

https 漏洞为你推荐
视频转换精灵3gp mp4视频转换精灵如何使用健康门户网站健康资讯中国健康之源网?400电话会议收费400电话会议收费吗张北论坛张北和张家口哪个未来的发展前景好?胶南建管网胶南做网站哪有声源定位内囊位于何处?产品涨价通知提价通知怎么写上海长宽要装长城宽带了,看到网上对长宽网速的评价,那个忐忑啊! 有谁是上海长宽的用户吗?你用的网速怎样呢?交通信号灯控制系统交通信号灯控制用PLC如何编写程序?洛奇英雄传s2洛奇英雄传有办法不交s2的任务,然后反复刷s2的图吗?
新网域名解析 已备案域名出售 过期已备案域名 科迈动态域名 ipage 韩国电信 网络星期一 服务器怎么绑定域名 权嘉云 电子邮件服务器 softbank邮箱 免费防火墙 100m独享 网通服务器托管 双线asp空间 114dns 测速电信 万网注册 免费稳定空间 japanese50m咸熟 更多