WebLogic 10.3.6高危漏洞(CVE-2020-14750)实战修复指南：从补丁获取到验证的全流程解析
1. 漏洞背景与危害分析
去年11月，Oracle官方发布了一个关于WebLogic Server的高危漏洞预警，编号CVE-2020-14750。这个漏洞的可怕之处在于，攻击者不需要任何用户名密码就能远程执行任意代码。想象一下，黑客可以像进自己家后花园一样随意操控你的服务器，上传木马、窃取数据、甚至直接让整个系统瘫痪。
这个漏洞影响WebLogic 10.3.6版本，与之前臭名昭著的CVE-2020-14882属于同一家族。我在实际运维中就遇到过因为这个漏洞导致服务器被植入挖矿程序的案例。当时客户的CPU使用率突然飙升到100%，排查后发现就是黑客利用这个漏洞搞的鬼。
漏洞原理简单来说，就是WebLogic Console组件在处理特定URL请求时存在缺陷。攻击者可以构造特殊的HTTP请求绕过认证，直接执行系统命令。更糟的是，这个漏洞利用难度极低，网上已经公开了现成的攻击工具，哪怕是不懂技术的小白黑客也能轻松得手。
2. 补丁获取与准备工作
2.1 官方补丁下载
首先需要从Oracle官网下载两个补丁包：
- p31641257_1036_Generic.zip（NA7A补丁，125MB）
- p32097188_10360201020_Generic.zip（KYRS补丁，28.8MB）
这里有个坑要注意：必须用Oracle账号登录才能下载。如果你们公司没有账号，建议提前注册好。我遇到过凌晨三点紧急处理漏洞，结果卡在注册环节的尴尬情况。
2.2 环境检查清单
安装补丁前，建议先检查以下内容：
- 确认WebLogic版本：执行
java weblogic.version查看 - 检查磁盘空间：至少需要500MB空闲空间
- 内存配置：建议调整bsu.sh内存参数为
-Xms2048m -Xmx4096m - 备份重要数据：包括domain配置和应用部署文件
特别提醒：生产环境操作前一定要先做快照！我有次补丁安装失败，回滚时发现没备份，差点酿成事故。
3. 分步安装指南
3.1 NA7A补丁安装
先来处理第一个补丁包，跟着我做：
# 切换到补丁目录 cd /patch_download_dir # 设置文件权限 chown weblogic:weblogic p31641257_1036_Generic.zip # 复制到BSU缓存目录 cp p31641257_1036_Generic.zip $MW_HOME/utils/bsu/cache_dir/ # 解压补丁包 cd $MW_HOME/utils/bsu/cache_dir/ unzip p31641257_1036_Generic.zip # 修改内存配置 vi $MW_HOME/utils/bsu/bsu.sh # 找到MEM_ARGS行修改为： MEM_ARGS="-Xms2048m -Xmx4096m" # 执行安装 cd $MW_HOME/utils/bsu/ ./bsu.sh -install \ -patch_download_dir=$MW_HOME/utils/bsu/cache_dir \ -patchlist=NA7A \ -prod_dir=$MW_HOME/wlserver_10.3安装过程大概需要5-10分钟，看到"Patch NA7A applied successfully"就成功了。如果卡住不动，可能是内存不足，可以适当调大Xmx值。
3.2 KYRS补丁安装
NA7A装完后，必须清理缓存再装第二个补丁：
# 清空缓存目录 cd $MW_HOME/utils/bsu/cache_dir/ rm -rf * # 安装KYRS补丁 cd /patch_download_dir chown weblogic:weblogic p32097188_10360201020_Generic.zip cp p32097188_10360201020_Generic.zip $MW_HOME/utils/bsu/cache_dir/ cd $MW_HOME/utils/bsu/cache_dir/ unzip p32097188_10360201020_Generic.zip # 执行安装 cd $MW_HOME/utils/bsu/ ./bsu.sh -install \ -patch_download_dir=$MW_HOME/utils/bsu/cache_dir \ -patchlist=KYRS \ -prod_dir=$MW_HOME/wlserver_10.3这里有个关键顺序：必须先NA7A后KYRS！我有次图省事直接装KYRS，结果报了一堆依赖错误，不得不重头再来。
4. 验证与排错
4.1 补丁验证方法
安装完成后，执行以下命令检查：
./bsu.sh -prod_dir=$MW_HOME/wlserver_10.3 \ -status=applied -verbose -view正常应该看到这样的输出：
Patch ID: NA7A Patch ID: KYRS Status: applied4.2 常见问题解决
内存不足错误： 修改bsu.sh中的MEM_ARGS参数，建议值：
MEM_ARGS="-Xms2048m -Xmx4096m"补丁冲突： 如果提示已有冲突补丁，先用以下命令卸载：
./bsu.sh -remove -patchlist=冲突补丁ID \ -prod_dir=$MW_HOME/wlserver_10.3安装卡死： 检查/tmp目录空间是否充足，至少需要1GB空间
4.3 终极验证方法
最直接的验证方式是尝试触发漏洞：
http://your-server:7001/console/images/%252E./console.portal如果跳转到登录页面要求输入账号密码，说明修复成功；如果直接进入控制台，那就得重新检查补丁了。
5. 后续防护建议
补丁安装只是第一步，我建议再做这些加固措施：
- 限制WebLogic控制台访问IP，在防火墙设置白名单
- 修改默认的7001端口号
- 启用管理通道(Admin Channel)
- 定期检查Oracle安全公告，建议订阅他们的邮件通知
最后提醒下，WebLogic的补丁常有依赖关系。下次打补丁前，先用-view参数查看现有补丁情况，避免冲突。有次我团队的小伙伴没注意这点，导致生产环境服务中断了2小时，这个教训希望大家引以为戒。