BEA WebLogic 暴露源代码漏洞

BEA WebLogic 暴露源代码漏洞(2)
通过 URL 使用 SSIServlet 自动处理通配符 (*) 。因此 如果文件路径开头为 /*.shtml/，将强制文件由 SSIServlet 处理。如果使用其它文件类型如 .jsp 和 .jhtml, 就能查看未分析的 jsp 和 jhtml 代码。举例:
http://www.xxx.com/*.shtml/login.jsp

2. 通过强制使用 FileServlet 查看未分析的页面 :
-----------------------------------------------------------
WebLogic 使用 FileServlet 配置 ConsoleHelp servlet ，在 weblogic.properties 文件的以下内容可得知:

# For Console help. Do not modify.
weblogic.httpd.register.ConsoleHelp=
weblogic.servlet.FileServlet
weblogic.httpd.initArgs.ConsoleHelp=\
defaultFilename=/weblogic/admin/help/NoContent.html
weblogic.allow.execute.weblogic.servlet.ConsoleHelp=everyone

因此如果文件路径以 /ConsoleHelp/ 开头将导致 WebLogic 使用 FileServlet，使未分析或编译的文件作页面显示出来，举例:
http://www.xxx.com/ConsoleHelp/login.jsp

解决方案：
不要使用示例中的设置方法设置 FileServlet 。这可能会让你的 JSP/JHTML 文件的源代码暴露出来。请查看在线文档:

http://www.weblogic.com/doCS51/admindocs/http.html#file

示例的 registrations 如下:

weblogic.httpd.register.file=weblogic.servlet.FileServlet
weblogic.httpd.initArgs.file=defaultFilename=index.html
weblogic.httpd.defaultServlet=file

有两种方法可以避免这个问题:

* 注册那些文件 servlet 使用随机用户名，加大猜测难度。例如使用象这样注册文件 servlet 为 12foo34:

weblogic.httpd.register.12foo34=weblogic.servlet.FileServlet
weblogic.httpd.initArgs.12foo34=defaultFilename=index.html
weblogic.httpd.defaultServlet=12foo34

* 注册文件 servlet 使用 wild cards 声明你将使用所有这些文件扩展名作服务。举例注册文件 servlet 为 .html 文件服务:

weblogic.httpd.register.*.html=weblogic.servlet.FileServlet
weblogic.httpd.initArgs.*.html=defaultFilename=index.html
weblogic.httpd.defaultServlet=*.html

使用上面的方法重复加入以下类型的文件 *.gif, *.jpg, *.PDF, *.txt, etc.

注意：这些信息是备有证明在 BEA WebLogic Server and Express 说明档的:

http://www.weblogic.com/docs51/admindocs/lockdown.html

另：请留意新版本并升级吧。