Weblogic 10.3.6 AES密码解密：从任意文件读取到后台登录的3步实战

Weblogic 10.3.6 AES凭据解密实战：从文件读取到权限获取的三步进阶

1. 中间件安全测试的核心突破点

在企业级Java应用生态中，Weblogic作为主流中间件长期占据重要地位，其安全性直接关系到业务系统的防护等级。当传统弱口令爆破无法奏效时，安全测试人员需要掌握更精细化的技术手段。本方案将聚焦Weblogic 10.3.6版本中加密凭据的解密全流程，通过任意文件读取漏洞实现权限提升的完整技术路径。

典型测试环境特征：

• Weblogic版本：10.3.6(11g)
• Java环境：JDK 1.6
• 存在漏洞：前台任意文件读取
• 加密方式：AES对称加密（老版本可能使用3DES）

关键文件定位表：

2. 加密凭据获取实战

2.1 密钥文件精准获取

SerializedSystemIni.dat作为二进制密钥文件，需要特殊处理避免数据损坏：

# 使用curl测试文件读取（仅作验证，实际需用Burp） curl -v "http://target:7001/hello/file.jsp?path=./security/SerializedSystemIni.dat" --output SerializedSystemIni.dat

BurpSuite专业操作流程：

1. 拦截文件读取请求
2. 右键响应体选择"Copy to file"
3. 保存时确保无额外字符添加
4. 使用Hex编辑器验证文件头尾完整性

常见错误处理：

• 文件头出现HTTP响应头信息 → 需手动删除
• 编码转换导致数据损坏 → 保持原始二进制格式

2.2 加密密码提取技巧

config.xml中的密码字段定位需要关注特定标签：

<!-- 关键加密字段示例 --> <node-manager-password-encrypted>{AES}K9bWjC5JkE8LtX7v</node-manager-password-encrypted>

提取时注意：

• 避免混淆password-encrypted与credential-encrypted
• 完整复制包括{AES}前缀的整个字符串
• Windows环境需注意换行符导致的解析错误

3. 解密工具链实战

推荐使用开源解密工具weblogic_decrypt.jar（已验证兼容10.3.6版本）：

// 解密命令示例 java -jar weblogic_decrypt.jar \ SerializedSystemIni.dat \ "{AES}K9bWjC5JkE8LtX7v"

参数解析：

• 第一个参数：密钥文件路径
• 第二个参数：config.xml中提取的加密字符串
• 输出结果：明文密码（如Oracle@123）

工具执行常见问题：

进阶技巧：

• 对于老版本3DES加密，需使用专用解密工具
• 内存受限环境可添加JVM参数：-Xmx512m

4. 安全防护建议

企业防御方案：

1. 文件权限控制

   • 设置SerializedSystemIni.dat为400权限
   • 限制config.xml的web访问路径

2. 加密方案升级

   • 迁移至非对称加密方案
   • 定期轮换加密密钥

3. 漏洞检测

   • 部署文件读取漏洞检测规则
   • 监控异常配置文件访问行为

渗透测试注意事项：

• 合法授权前提下进行测试
• 加密凭据仅用于安全评估
• 测试完成后及时清理解密工具

实际测试中发现，Weblogic 12c之后版本加密机制有所增强，但10.3.6等老版本在未打补丁情况下仍存在风险。建议企业用户及时升级到官方支持版本。