Weblogic 10.3.6 AES密码解密：从任意文件读取到后台登录的3步实战
Weblogic 10.3.6 AES凭据解密实战：从文件读取到权限获取的三步进阶
1. 中间件安全测试的核心突破点
在企业级Java应用生态中，Weblogic作为主流中间件长期占据重要地位，其安全性直接关系到业务系统的防护等级。当传统弱口令爆破无法奏效时，安全测试人员需要掌握更精细化的技术手段。本方案将聚焦Weblogic 10.3.6版本中加密凭据的解密全流程，通过任意文件读取漏洞实现权限提升的完整技术路径。
典型测试环境特征：
- Weblogic版本：10.3.6(11g)
- Java环境：JDK 1.6
- 存在漏洞：前台任意文件读取
- 加密方式：AES对称加密（老版本可能使用3DES）
关键文件定位表：
| 文件类型 | 默认路径 | 存储内容 | 获取方式 |
|---|---|---|---|
| 加密密钥 | ./security/SerializedSystemIni.dat | AES加密密钥 | BurpSuite二进制读取 |
| 配置文件 | ./config/config.xml | 加密后的管理员密码 | 直接下载或Burp读取 |
2. 加密凭据获取实战
2.1 密钥文件精准获取
SerializedSystemIni.dat作为二进制密钥文件，需要特殊处理避免数据损坏：
# 使用curl测试文件读取（仅作验证，实际需用Burp） curl -v "http://target:7001/hello/file.jsp?path=./security/SerializedSystemIni.dat" --output SerializedSystemIni.datBurpSuite专业操作流程：
- 拦截文件读取请求
- 右键响应体选择"Copy to file"
- 保存时确保无额外字符添加
- 使用Hex编辑器验证文件头尾完整性
常见错误处理：
- 文件头出现HTTP响应头信息 → 需手动删除
- 编码转换导致数据损坏 → 保持原始二进制格式
2.2 加密密码提取技巧
config.xml中的密码字段定位需要关注特定标签：
<!-- 关键加密字段示例 --> <node-manager-password-encrypted>{AES}K9bWjC5JkE8LtX7v</node-manager-password-encrypted>提取时注意：
- 避免混淆
password-encrypted与credential-encrypted - 完整复制包括
{AES}前缀的整个字符串 - Windows环境需注意换行符导致的解析错误
3. 解密工具链实战
推荐使用开源解密工具weblogic_decrypt.jar（已验证兼容10.3.6版本）：
// 解密命令示例 java -jar weblogic_decrypt.jar \ SerializedSystemIni.dat \ "{AES}K9bWjC5JkE8LtX7v"参数解析：
- 第一个参数：密钥文件路径
- 第二个参数：config.xml中提取的加密字符串
- 输出结果：明文密码（如
Oracle@123）
工具执行常见问题：
| 错误类型 | 解决方案 |
|---|---|
| 无效密钥 | 检查SerializedSystemIni.dat完整性 |
| 解密失败 | 确认加密前缀{AES}包含在参数中 |
| 版本不兼容 | 尝试使用JDK 1.6环境运行 |
进阶技巧：
- 对于老版本3DES加密，需使用专用解密工具
- 内存受限环境可添加JVM参数：
-Xmx512m
4. 安全防护建议
企业防御方案：
文件权限控制
- 设置SerializedSystemIni.dat为400权限
- 限制config.xml的web访问路径
加密方案升级
- 迁移至非对称加密方案
- 定期轮换加密密钥
漏洞检测
- 部署文件读取漏洞检测规则
- 监控异常配置文件访问行为
渗透测试注意事项：
- 合法授权前提下进行测试
- 加密凭据仅用于安全评估
- 测试完成后及时清理解密工具
实际测试中发现，Weblogic 12c之后版本加密机制有所增强，但10.3.6等老版本在未打补丁情况下仍存在风险。建议企业用户及时升级到官方支持版本。