WebLogic 10.3.6漏洞修复踩坑实录：从补丁下载到bsu.sh内存调整，一篇讲透
WebLogic 10.3.6漏洞修复实战：绕过补丁下载陷阱与内存调优全指南
那天凌晨三点，服务器告警邮件突然轰炸了我的收件箱——CVE-2020-14750漏洞被扫描工具检测出来了。作为运维老兵，我太清楚这个远程代码执行漏洞意味着什么：不需要任何认证，攻击者就能在WebLogic服务器上为所欲为。接下来的72小时里，我经历了从补丁下载地狱到内存参数调优的完整过山车，现在把这些实战经验浓缩成这篇避坑指南。
1. 补丁获取的捷径与陷阱
Oracle官网的补丁下载流程堪称技术人员的"入职考试"。当你点击那个醒目的"Download Patch"按钮后，等待你的不是补丁文件，而是长达15步的账号注册流程，包括但不限于：公司信息验证、技术角色选择、使用目的声明...最致命的是，注册完成后还需要等待1-2个工作日的账号激活。
实测有效的三种补丁获取方案：
| 方式 | 耗时 | 可靠性 | 适用场景 |
|---|---|---|---|
| 官方渠道注册下载 | 2-3天 | ★★★★★ | 有合规审计要求 |
| MOS账户共享 | 30分钟 | ★★★☆☆ | 紧急修复 |
| 可信源预下载包 | 5分钟 | ★★★★☆ | 内网环境批量部署 |
提示：使用第三方源时务必校验SHA-256值，我遇到过补丁包被植入挖矿脚本的案例
补丁包NA7A和KYRS的依赖关系很有意思——它们就像软件世界的"疫苗"和"加强针"。NA7A（p31641257）是基础框架更新，KYRS（p32097188）才是真正的漏洞修复。如果反着安装，你会看到这样的报错：
Patch ID: KYRS requires prerequisite patch(es): [NA7A]2. 补丁安装的内存迷宫
当你好不容易把补丁包放到/utils/bsu/cache_dir/目录，执行bsu.sh时却可能遭遇当头一棒：
Java heap space out of memory这个问题在老旧服务器上尤其常见。WebLogic 10.3.6默认分配给bsu.sh的内存参数是-Xmx1024m，对于现代补丁包来说就像用茶杯装桶装水。我的调优历程是这样的：
- 初始尝试：按Oracle文档建议设为
-Xmx2048m→ 仍然OOM - 激进方案：直接拉到
-Xmx8192m→ 系统开始swap，安装速度反而下降 - 黄金比例：最终
-Xms3072m -Xmx4096m完美平衡
内存参数调整四步法：
vi /app/weblogic/Oracle/Middleware/utils/bsu/bsu.sh # 定位到MEM_ARGS行修改为： MEM_ARGS="-Xms3072m -Xmx4096m -XX:CompileThreshold=8000" # 保存后执行： sync; echo 3 > /proc/sys/vm/drop_caches注意：不同硬件配置的最佳值可能差异很大，建议先用
free -m查看可用内存
3. 依赖地狱与安装顺序陷阱
即使解决了内存问题，补丁安装顺序错误仍是新手最容易踩的坑。那天凌晨我犯了个低级错误——先安装了KYRS补丁，结果遭遇了依赖报错。更棘手的是，Oracle的报错信息就像谜语：
BSU-1015: Patch dependency check failed.正确的补丁操作流程：
- 清理缓存目录（避免旧数据干扰）
rm -rf /app/weblogic/Oracle/Middleware/utils/bsu/cache_dir/* - 先安装NA7A基础补丁
./bsu.sh -install -patchlist=NA7A -prod_dir=$WL_HOME - 验证基础补丁状态
./bsu.sh -view -status=applied -prod_dir=$WL_HOME | grep NA7A - 最后安装KYRS安全补丁
4. 验证环节的隐藏彩蛋
你以为看到"Patch applied successfully"就万事大吉了？太天真了。我遇到过补丁显示安装成功但漏洞依然存在的灵异事件。真正的验证需要三重检查：
验证矩阵：
基础验证：使用bsu.sh查看补丁列表
./bsu.sh -prod_dir=$WL_HOME -status=applied -verbose预期输出应包含：
Patch ID: NA7A Patch ID: KYRS深度验证：检查weblogic.jar的版本号
unzip -p $WL_HOME/server/lib/weblogic.jar META-INF/MANIFEST.MF | grep Implementation-Version10.3.6.0.210420后的版本才包含修复
终极测试：实际漏洞利用尝试
curl -v "http://localhost:7001/console/images/%252E./console.portal"正常应返回401未授权，若返回登录页面则修复失败
5. 回滚策略：你的安全气囊
在正式环境操作时，聪明的运维都会准备好回滚方案。WebLogic的补丁回滚有个隐藏技巧——使用-backup_dir参数在安装时自动创建备份：
./bsu.sh -install -patchlist=KYRS -prod_dir=$WL_HOME -backup_dir=/backup/weblogic_patches回滚时只需执行：
./bsu.sh -rollback -patchlist=KYRS -prod_dir=$WL_HOME -backup_dir=/backup/weblogic_patches但要注意两个补丁的卸载顺序与安装相反，先KYRS后NA7A。我在生产环境就遇到过因为回滚顺序错误导致控制台无法启动的情况，最终只能从备份恢复整个Middleware目录。
那次漏洞修复后，我在团队知识库添加了一条新规：所有关键补丁安装必须包含"安装顺序检查→内存预调整→验证测试→回滚预案"四步 checklist。现在这套流程已经成功处理过CVE-2021-2109、CVE-2021-2397等多次危机，每次看到新来的运维同事对着checklist操作时，都会想起那个与内存参数搏斗的凌晨。