中间件漏洞有哪些

中间件是中间“承上启下”的软件层，它连接操作系统和业务应用。中间一旦这块出问题，中间攻击者往往能直接拿到服务器控制权。中间我见过太多企业把防火墙配置得密不透风，中间却在中间件上栽了跟头。中间下面直接盘点那些常见的中间“坑”。

一、中间Weblogic：反序列化的中间重灾区

Oracle Weblogic的漏洞几乎每年都在CVE榜单上刷屏。最经典的中间是反序列化远程代码执行（如CVE-2019-2725、CVE-2020-14882）。中间攻击者只需构造一个恶意的中间XML或字节流请求，就能绕过认证，中间直接在服务器上执行命令。中间

我身边有个真实案例：某金融公司内网部署了Weblogic，中间IT部门觉得“内网很安全”，结果一个钓鱼邮件打进来，攻击者通过未打补丁的Weblogic直接横向移动，把数据库拖了个底朝天。事后排查发现，补丁其实发了三个月，但没人愿意重启服务——怕业务中断。这就是典型的人祸大于天灾。

二、Tomcat：弱口令和PUT上传的“老面孔”

Tomcat的漏洞不算少，但真正被利用最多的，反而是配置问题。

最典型的是manager后台弱口令。很多运维为了省事，把manager-gui的密码设成admin/admin或者tomcat/tomcat。攻击者一旦登录，直接上传一个war包（里面藏木马），服务器就沦陷了。另一个是PUT方法开启——如果conf/web.xml里允许写操作，攻击者可以直接用curl上传JSP文件，连登录都省了。

这类漏洞没什么技术含量，但胜在容易踩。2023年我帮一家电商排查故障时，发现他们的Tomcat版本是7.0.50（2013年的货），上面挂着三年前的漏洞。问为什么没升级？答：“能跑就行。”——这种心态在中型公司里太普遍了。

三、Shiro：记住我功能的“钥匙孔”

Apache Shiro是一个安全框架，但它的默认配置常出问题。核心漏洞是反序列化利用（CVE-2016-4437）。Shiro使用AES加密“记住我”的cookie，密钥如果硬编码在代码里（很多开发图省事直接写死），攻击者拿到密钥后就能伪造任意cookie，触发反序列化攻击。

更麻烦的是，Shiro的加密算法是AES-CBC，存在Padding Oracle攻击风险。实际渗透测试中，只要目标用了默认密钥（比如`kPH+bIxk5D2deZiIxcaaaA==`），基本等于白送。我见过不少创业公司的后台登录页都带着Shiro的报错信息，一眼就能认出来。

四、Nginx：配置错误比代码漏洞更致命

Nginx本身很硬核，但配置失误能玩出花来。常见的有CRLF注入（CVE-2019-20372），在返回头里注入恶意内容，实现XSS或会话劫持。还有alias路径穿越——如果配置里写了`location /files { alias /data/; }`但少了末尾斜杠，访问`/files../`就能读到系统目录。

另一个高频问题是未授权访问。有人把Nginx当反向代理，但忘了限制内网管理接口的IP白名单。暴露在公网的`/nginx_status`或`/stub_status`页面，会泄露连接数和流量信息，给后续攻击做铺垫。这种问题用扫描器一探一个准，根本不需要什么高级技巧。

五、FastJSON：自动类型处理的“潘多拉魔盒”

FastJSON是阿里开源的JSON解析库，因性能快被广泛使用。但它的autoType特性简直是漏洞温床——当JSON里包含`@type`字段时，会反序列化成任意类。攻击者利用恶意类链（如JNDI注入），可以直接执行系统命令。

从1.2.24到1.2.83，FastJSON的绕过补丁打了十几个回合，每次都是“修了一个口子，又漏了一个缝”。我甚至见过有安全团队直接禁用autoType功能，或者干脆换成Jackson——代价是性能下降20%，但比被攻破强一万倍。

六、Redis：未授权访问的“免费矿机”

Redis严格算数据库，但常被当作中间件部署。漏洞形态是未授权访问——默认绑定`0.0.0.0:6379`且无密码，攻击者连上去就能写crontab定时任务或写SSH公钥。最骚的操作是，攻击者用`CONFIG SET dir /var/spool/cron/`命令，把恶意命令写进root的定时任务里，服务器直接变成矿机。

这类攻击在云上尤其猖獗。我见过某初创公司把Redis开放到公网，第二天CPU就飙到100%，一查是挖矿程序在跑。运维还一脸无辜：“我们以为Redis只内网访问，没想到云厂商的安全组规则配错了。”——配置错误永远是安全的第一杀手。

七、总结一下共性规律

翻看这些漏洞，你会发现一个规律：大部分中间件漏洞不是0day，而是配置不当或版本滞后。攻击者利用的工具都是现成的，扫描器扫一遍就能找到目标。真正防御起来，其实就三件事：及时升级、关闭不需要的功能、给管理接口加访问控制。但能做到的公司，少之又少。

别把中间件当“黑盒子”用。每个组件都有脾气，你得知道它哪里容易漏风，才能真正堵住。安全这行，从来都是细节决定生死。