Weblogic反序列化漏洞CVE-2018-2628：从T3协议到反弹Shell的攻防实战

1. 项目概述：一次经典的中间件漏洞攻防演练

在安全研究领域，Weblogic的反序列化漏洞系列堪称“活化石”，尤其是CVE-2018-2628，它不仅是理解Java反序列化攻击链的绝佳样本，更是渗透测试中针对企业内网中间件的常见突破口。这个漏洞的核心，在于Weblogic默认开启的T3协议。T3是Oracle为Weblogic定制的高性能RMI（远程方法调用）协议，它在提供高效服务间通信的同时，也因其复杂的对象序列化/反序列化机制，为攻击者打开了一扇危险的后门。

简单来说，攻击者可以构造一个恶意的序列化对象，通过T3协议发送给Weblogic服务器。当服务器在不知情的情况下反序列化这个对象时，就会触发预先植入在对象中的恶意代码执行链，最终实现远程命令执行。而“反弹Shell”则是这个漏洞利用最直观、最致命的结果——它意味着攻击者能够获得目标服务器的一个命令行控制权，为后续的横向移动和数据窃取铺平道路。

复现这个漏洞，对于安全从业者而言，价值是多维度的。对于防御方（蓝队），通过亲手搭建环境、触发漏洞，可以深刻理解攻击原理、攻击流量特征，从而制定更精准的检测规则和加固策略。对于渗透测试人员（红队），掌握从漏洞发现、利用到最终获取权限的完整链条，是实战能力的核心体现。即便对于开发人员，理解反序列化漏洞的成因，也能在代码层面更好地规避类似风险。接下来，我将带你从零开始，一步步拆解环境搭建、漏洞原理、利用过程，并分享实战中那些容易踩坑的细节。

2. 漏洞原理深度剖析：T3协议与JRMP的“共谋”

要真正理解CVE-2018-2628，不能孤立地看它，必须将其放入Weblogic反序列化漏洞的“家族谱系”中。这个漏洞的根源在于 weblogic.rjvm.InternalWeblogicRegistry 这个类。在Weblogic的T3协议通信过程中，客户端与服务器之间会交换序列化对象。当Weblogic服务器作为客户端，去连接一个恶意的RMI注册中心（通常由攻击者搭建）时，这个恶意的注册中心会通过JRMP（Java Remote Method Protocol）协议返回一个精心构造的、包含恶意代码的序列化对象。

注意 ：这里涉及两个关键协议——T3和JRMP。T3是Weblogic的“方言”，JRMP是Java RMI的“普通话”。漏洞触发时，是Weblogic（通过T3接收指令）主动去连接攻击者的JRMP服务，并“取回”了恶意对象。理解这个“主动连接”的角色转换，对后续的利用工具配置至关重要。

这个恶意对象利用了Java反序列化中的一个经典“ gadget chain”（利用链）。在CVE-2018-2628的公开利用中，最常见的是结合了 java.rmi.registry.Registry 、 sun.reflect.annotation.AnnotationInvocationHandler 以及 com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl 等类构成的利用链。 TemplatesImpl 这个类特别危险，因为它能直接定义并加载字节码。攻击者将编译好的恶意Java类的字节码嵌入序列化对象中，当 TemplatesImpl 被反序列化并触发其 newTransformer() 或 getOutputProperties() 方法时，嵌入的字节码就会被加载并执行。

为什么Weblogic会中招？ 根本原因在于其T3协议实现中对反序列化数据的过滤机制存在缺陷。在漏洞版本中，Weblogic未能有效校验通过T3协议传入的、指向外部JRMP服务的对象引用，导致其可以毫无阻拦地连接攻击者控制的恶意注册中心，并执行反序列化操作。这种“信任边界”的缺失，是很多反序列化漏洞的共同根源。

3. 靶场环境搭建与关键配置

复现漏洞的第一步是搭建一个“活靶子”。我强烈建议在虚拟机（如VMware或VirtualBox）中完成所有操作，并与攻击机组成隔离的虚拟网络，确保实验环境的安全。

3.1 漏洞版本Weblogic安装

CVE-2018-2628影响多个Weblogic版本，主要包括10.3.6.0, 12.1.3.0, 12.2.1.2, 12.2.1.3。这里我以在Linux系统（如Ubuntu 18.04）上安装 12.2.1.3 版本为例。

1. 下载安装包 ：从Oracle官网下载对应版本的通用安装包（如 fmw_12.2.1.3.0_wls.jar ）。你需要一个Oracle账户。
2. 准备响应文件 ：为了静默安装，需要创建一个 wls.rsp 响应文件，内容如下。关键是设置 MIDDLEWARE_HOME （Weblogic安装目录）和 JAVA_HOME （需要JDK 1.8）。

   [ENGINE]
   Response File Version=1.0.0.0.0
   [GENERIC]
   DECLINE_AUTO_UPDATES=true
   ORACLE_HOME=/u01/app/oracle/middl