【中间件管理】Weblogic 安全加固规范

2019-04-25 14:22:00
sucheasy
转贴
711


1. 适用情况

适用于使用Weblogic进行部署的Web网站。

2. 技能要求

熟悉Weblogic安装部署,熟悉Weblogic常见漏洞利用方式,并能针对站点使用Weblogic进行安全加固。

3. 前置条件

1、根据站点开放端口,进程ID,确认站点采用Weblogic进行部署;
2、找到Weblogic站点位置

4. 详细操作

4.1 控制台用户设置

1、用户弱口令修改

 

2、用户账号锁定设置

 

3、设置密码策略

安全领域>myrealm>提供程序>口令验证> SystemPasswordValidator>提供程序特定>配置策略

 

4.2 日志配置

默认情况下, HTTP 日志记录处于启用状态,日志默认在base_domain\servers\AdminServer\logs目录,其中access.log是安装在该server之上的应用的的http访问日志。

1、在Weblogic管理后台,找到环境—服务器,然后锁定并编辑,点击服务名称进入设置页面:

 

2、选择日志记录--HTTP

4.3 最佳经验实践

4.3.1 更改默认运行端口

依次点击环境>服务器>Adminservers(管理)>一般信息,更改监听端口7001为其他端口:

4.3.2 禁用Send Server Header

依次点击环境>服务器>Adminservers(管理)>协议>http

检查是否勾选Send Server header

4.3.3 禁用X-Powered-By Header

依次点击base_domain>web应用程序,

在X-Powered-By 标头修改为“将不发送X-Powered-By Header”

4.3.4 限制应用服务器Socket数量

依次点击环境>服务器>Adminservers(管理)>配置>优化

4.4 风险操作项

Weblogic历史漏洞展示:

4.4.1 CVE-2018-2628临时解决方案

CVE-2018-2628解决方案:

Oracle WebLogic反序列化漏洞CVE-2018-2628 官方补丁 ,Oracle官方已经在关键补丁更新(CPU)中修复了该漏洞,强烈建议受影响的用户尽快升级更新进行防护。 http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html

临时解决方案:

可通过控制T3协议的访问来临时阻断针对该漏洞的攻击。WebLogic Server提供了名为weblogic.security.net.ConnectionFilterImpl的默认连接筛选器,此连接筛选器接受所有传入连接,可通过此连接筛选器配置规则,对t3及t3s协议进行访问控制,详细操作步骤如下:

1、进入Weblogic控制台,在base_domain的配置页面中,进入“安全”选项卡页面,点击“筛选器”,进入连接筛选器配置。

 

2、在连接筛选器中输入:weblogic.security.net.ConnectionFilterImpl,在连接筛选器规则中输入:* * 7001 deny t3 t3s

3、保存后规则即可生效,无需重新启动。

 

4.4.2 补丁更新

根据Weblogic版本到weblogic官网下载补丁包,各版本选择下载地址:http://www.oracle.com/technetwork/middleware/weblogic/downloads/wls-main-097127.html 

4.4.3 Weblogic降权

以weblogic 12c为例,执行如下命令:

复制代码
# su - root
# groupadd weblogic
# useradd -g weblogic weblogic -s /bin/bash
# chown -R weblogic:weblogic /tmp/wls12120
然后重新启动服务
# su - weblogic
#/tmp/wls12120/user_projects/domains/mydomain/startWebLogic.sh
复制代码

最后

文章分类
联系我们
联系人: 如易
Email: admin@sucheasy.com
QQ: 172787898
微信: sucheasy
地址: 北京市海淀区上地十街辉煌国际1号院1号楼20层