LuckySec网络安全

代码在线跑，知识轻松学

Python精品学习库

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

博客搬家 | 分享价值百万资源包

往期视频·干货材料·成员作品 最新动态

技术创作特训营·精选知识专栏

新邀入驻腾讯云开发者社区，福利多多！

如何运用「云、端融合的数智化安全体系」高效护航数据安全

左手AI，右手安全 —— 一汽丰田数字化转型之路

暴力破解的产生是由于服务器端没有做合理的限制，导致攻击者可以通过暴力的手段破解所需信息，如用户名、密码、验证码等。暴力破解的关键在于字典的大小，暴力破解需要一个庞大的字典，如4位数字的验证码，那么暴力破解的范围就是0000~9999。该漏洞常存在于应用系统的登录模块中，攻击者可以通过事先准备的字典或者社工生成的字典，对特定目标口令进行大量登录尝试，直至暴力破解成功。

暴力破解漏洞

在应用系统登录的过程中，当输入错误的用户名信息时，应用程序将反馈相应的诸如“用户不存在”的错误提示，攻击者可通过该提示为依据对用户名进行枚举，猜解出已存在于应用系统的用户名信息，最终攻击者再对已有用户的密码进一步猜解，从而降低暴力破解的成本。

用户名枚举漏洞

密码字段通过 GET 方法传输是不安全的，因为在传输过程，用户凭据以明文等形式被放在请求的 URL 中。大多数 Web 服务器将记录所有请求的参数和 URL ，因此当凭据属于 URL 的一部分时，它们将显示在 Web 服务器日志中，这样就可能会有一些隐私信息被第三方查看获取。另外，攻击者也可以通过中间人攻击等手段，截获到 GET 请求 URL 中到用户凭据，增加了敏感信息泄露的风险。而 POST 请求方式通过“请求体”传递数据，参数内容不会在 URL 中显示，相较于 GET 请求方式会更加安全。

密码字段通过 GET 方法传输

Web 服务器对于 HTTP 请求的响应头缺少 Strict-Transport-Security，这将导致浏览器提供的安全特性失效，更容易遭受 Web 前端黑客攻击的影响。HTTP Strict Transport Security（通常简称为 HSTS）是一个安全功能，它告诉浏览器只能通过 HTTPS 访问当前资源，而不是 HTTP。当 Web 服务器的 HTTP 头中包含 Strict-Transport-Security 时，浏览器将持续使用 HTTPS 来访问 Web 站点，可以用来对抗协议降级攻击和 Cookie 劫持攻击。

HTTP Strict-Transport-Security 缺失

Web 应用程序设置了不含 Secure 属性的会话 Cookie，这意味着 Cookie 信息在传递的过程中容易被监听捕获造成信息泄露。标记为 Secure 的 Cookie 只会通过被 HTTPS 协议加密过的请求发送给服务端进行会话验证，它永远不会使用不安全的 HTTP 发送传输（本地主机除外），这意味着中间人攻击者无法轻松访问它。此外，在不安全的站点（在 URL 中带有 http://）无法使用 Secure 属性设置的 Cookie 值。

会话 Cookie 未设置 Secure 属性

Web 服务器对于 HTTP 请求的响应头缺少 X-XSS-Protection，这意味着此网站更易遭受跨站脚本攻击（XSS）。X-XSS-Protection 响应头是 Internet Explorer、Chrome 和 Safari 的一个特性，当检测到跨站脚本攻击（XSS）时，浏览器将停止加载页面。

HTTP X-XSS-Protection 缺失

Web 应用程序设置了不含 HttpOnly 属性的会话 Cookie，因此注入站点的恶意脚本可能访问并窃取 Cookie 值。任何存储在会话令牌中的信息都可能会被窃取，它们可能被用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务。JavaScript Document.cookie API 无法访问带有 HttpOnly 属性的 Cookie，此类 Cookie 仅作用于服务器。例如，持久化服务器端会话的 Cookie 不需要对 JavaScript 操作，而应具有 HttpOnly 属性。会话 Cookie 设置 HttpOnly 属性，此预防措施有助于缓解跨站点脚本（XSS）攻击。

会话 Cookie 未设置 HttpOnly 属性

Web 服务器对于 HTTP 请求的响应头缺少 X-Content-Type-Options，这意味着此网站更易遭受跨站脚本攻击（XSS）。X-Content-Type-Options 响应头相当于一个提示标志，被服务器用来提示客户端一定要遵循在 Content-Type 首部中对 MIME 类型 的设定，而不能对其进行修改，这就禁用了客户端的 MIME 类型嗅探行为。浏览器通常会根据响应头 Content-Type 字段来分辨资源类型，有些资源的 Content-Type 是错的或者未定义，这时浏览器会启用 MIME-sniffing 来猜测该资源的类型并解析执行内容。利用这个特性，攻击者可以让原本应该解析为图片的请求被解析为 JavaScript 代码。

HTTP X-Content-Type-Options 缺失

Web 服务器对于 HTTP 请求的响应头缺少 X-Frame-Options，这意味着此网站存在遭受点击劫持攻击的风险。X-Frame-Options 响应头可被用于指示允许一个页面可否在 frame、iframe、embed 或者 object 中展现的标记。站点可以通过确保网站没有被嵌入到别人的站点里面，从而避免点击劫持攻击。

HTTP X-Frame-Options 缺失

Weblogic Server是Oracle公司的一款适用于云环境和传统环境的应用服务器，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。Weblogic Console控制台由于管理员配置疏忽没有更改默认密码，或者存在账号弱口令漏洞，攻击者可在获取到账号密码的前提下登录管理后台，通过控制台“部署”功能模块部署恶意war包，进而getShell获取服务器管理权限。

Weblogic Console弱口令后台getShell

按照视频教程获取免费的虚拟主机，选择中国香港或者国外的虚拟主机可以免去繁琐的备案流程。

网站域名迁移引流教程

- Weblogic WLS组件远程代码执行漏洞（CVE-2017-10271） - 

Weblogic WLS组件远程代码执行漏洞（CVE-2017-10271）

Weblogic Server是Oracle公司的一款适用于云环境和传统环境的应用服务器，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。Oracle Weblogic Server自带的wls9_async_response.war组件及wls-wsat组件中，该漏洞绕过了Weblogic用于修复CVE-2019-2725的补丁，未经授权的攻击者可以发送精心构造的恶意HTTP请求，实现远程代码执行，从而获取服务器权限。

Weblogic反序列化远程代码执行漏洞（CVE-2019-2729）

- Weblogic JNDI远程代码执行漏洞（CVE-2021-2109） - 

Weblogic JNDI远程代码执行漏洞（CVE-2021-2109）

- Weblogic WLS组件IIOP协议远程代码执行漏洞 (CVE-2020-2551) - 

Weblogic WLS组件IIOP协议远程代码执行漏洞 (CVE-2020-2551)

- WebLogic Console权限认证绕过漏洞（CVE-2020-14750） - 

WebLogic Console权限认证绕过漏洞（CVE-2020-14750）

Weblogic Server是Oracle公司的一款适用于云环境和传统环境的应用服务器，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。Oracle Weblogic Server自带的wls9_async_response.war组件及wls-wsat组件中，由于在反序列化处理输入信息的过程中存在缺陷，未经授权的攻击者可以发送精心构造的恶意HTTP请求，实现远程代码执行，从而获取服务器权限。

Weblogic反序列化远程代码执行漏洞（CVE-2019-2725）

- Weblogic Coherence组件远程代码执行漏洞（CVE-2020-2555） - 

Weblogic Coherence组件远程代码执行漏洞（CVE-2020-2555）

- Weblogic WLS Core Components反序列化命令执行漏洞（CVE-2018-2628） - 

Weblogic WLS Core Components反序列化代码执行漏洞（CVE-2018-2628）

Weblogic Server是Oracle公司的一款适用于云环境和传统环境的应用服务器，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。Oracle Weblogic Server组件的DeploymentService接口支持向服务器上传任意文件。攻击者绕过OAM（Oracle Access Management）认证，设置wl_request_type参数为app_upload，构造文件上传格式的POST请求包，上传jsp木马文件，进而控制服务器权限，影响数据的可用性、保密性和完整性。

Weblogic任意文件上传漏洞（CVE-2019-2618）

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋 

腾讯云代码助手

CODING DevOps

Cloud Studio

SDK中心

API中心

命令行工具

腾讯云开发者社区推出了LuckySec网络安全专栏，为你提供了LuckySec网络安全的相关文章，致力于帮助开发者快速成长与发展。

LuckySec网络安全

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐