背景,某客户weblogic漏洞扫描发现console登录的weblogic用户存在弱口令,需要进行密码加固,正常流程如下:
- 先用旧密码登录web管理控制台(默认7001端口),在里面进行weblogic密码修改。
- 修改完成后需要对配置文件中的密码也进行修改,先修改Adminserver,再修改managerserver。
- 以上这样正常操作密码基本就能重置了。
但实际操作过程中可能就会遇到坑,一次一共遇到3个,我简单说明一下,也让后面的人尽量少走弯路。
坑1、管理控制台密码有可能会被写死在bin/setdomainenv.sh里面或者startWeblogicserver.sh里面,如果直接改boot配置文件是不会生效的,需要删除这2个地方写死的用户密码配置。
坑2、启动过程中发现控制台加载非常慢,一直转圈圈,通过jstack进程发现是卡在java random上面,触发了java随机数的Bug,可以通过修改java.security解决,改为:securerandom.source=file:/dev/./urandom,主要修改 /./urandom 这里。
坑3、管理控制台密码修改成功,Adminserver也能正常启动和登录,但managerServer启动死活报密码错误,密码这里是正确的,boot中的密码也未进行加密,managerServer的日志显示就是密码认证被拒绝,这个问题解决的办法是删除managerServer下面的data文件夹或里面的缓存数据文件,建议直接mv data data_old,再去启动managerServer,正常启动,未报密码错误。
在分析这个问题时走了些弯路&#