weblogic 10.3.6的启动禁止访问反序列化参数

很多年没写博客了，最近想重新写写，一来想把自己遇到的坑和如何解决的分享给有需要的人。二来也防止自己忘记的时候上来看看哈哈。

 

最近参与的项目政府单位扫描漏洞，发现了这个weblogic 的反序列化漏洞，我看了一下好像最新的weblogic12.2.2.4已经禁止了访问了，那么10.3.6的版本，就需要我们手动去禁止。

第一， 关闭服务，删除域路径\sifc2\servers\AdminServer里的data、logs、和tmp，主要是tmp因为反序列化的访问就是这个文件下的。接下来我们要禁止tmp文件下的浏览器中访问http://<IP地址>:<端口>/wls-wsat/CoordinatorPortType和  浏览器中访问 http://<IP 地址 >:< 端口 >/_async/AsyncResponseService

两种不同操作系统的启动参数是这样设置的

1、windos下的启动参数设置

 

 

 

liunx环境的启动参数是

 

 

SAVE_JAVA_OPTIONS="${JAVA_OPTIONS} -Dweblogic.wsee.skip.async.response=true -Dweblogic.wsee.wstx.wsat.deployed=false"
 

liunx在域下面的startWebLogic很可能无法百分百禁止，一般是域下bin里的startWebLogic.sh里去增加，就能禁止启动