■ 西安 郭朋

編者按：近期筆者針對(duì)單位系統(tǒng)中的Weblogic高危漏洞進(jìn)行了修補(bǔ)，在Linux系統(tǒng)中進(jìn)行的非常順利，但在Windows操作系統(tǒng)上按照同樣的步驟進(jìn)行安裝，卻問題多多，過程相當(dāng)曲折。

Weblogic是一個(gè)基于JAVA EE架構(gòu)的中間件，是用于開發(fā)、集成、部署和管理大型分布式Web應(yīng)用及網(wǎng)絡(luò)應(yīng)用和數(shù)據(jù)庫應(yīng)用的Java應(yīng)用服務(wù)器。

近期Oracle官方發(fā)布了三個(gè)針對(duì)Weblogic的高危漏洞的關(guān)鍵補(bǔ)丁公告。這三個(gè)漏洞均是因?yàn)門3協(xié)議存在缺陷，攻擊者無需經(jīng)過身份驗(yàn)證，即可直接通過構(gòu)造T3請(qǐng)求觸發(fā)漏洞實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行，獲取用戶系統(tǒng)權(quán)限，進(jìn)而實(shí)施攻擊破壞行為。

鑒于上述漏洞影響范圍大、潛在危害程度高，筆者單位要求對(duì)存在安全漏洞的系統(tǒng)要第一時(shí)間下載和安裝Oracle官方的系統(tǒng)補(bǔ)丁，以確保長期有效的防護(hù)。

Weblogic中間件在筆者單位應(yīng)用很廣泛，其中在Linux、Windows操作系統(tǒng)上都有大量的部署應(yīng)用。筆者將從Oracle官網(wǎng)上下載的Weblogic補(bǔ)丁，先在Linux操作系統(tǒng)上進(jìn)行了安裝。該過程進(jìn)行很順利，幾十臺(tái)Linux服務(wù)器均升級(jí)成功。然后筆者在Windows操作系統(tǒng)上按照同樣的步驟進(jìn)行安裝，卻不想問題多多，過程相當(dāng)曲折。

首先筆者將補(bǔ)丁包上傳至%Weblogic_Home%utilssucache_dir目錄下，然后進(jìn)入%Weblogic_Home%utilssu目錄，按住Shift鍵的同時(shí)，再點(diǎn)擊鼠標(biāo)右鍵，在彈出的窗口中選擇“在此處打開命令窗口”項(xiàng)。

在打開的DOS窗口中執(zhí)行以下命令，查看當(dāng)前補(bǔ)丁安裝情況：

bsu.cmd -prod_dir=%Weblogic_Home%wl ser ver_10.3 -status=app lied -verbose -view

發(fā)現(xiàn)程序報(bào)出“java.lang.OutOfMemoryError:Java heap space”錯(cuò)誤，如圖1所示。

筆者看到程序拋出虛擬內(nèi)存不足錯(cuò)誤，便立即修改bsu.cmd程序里的虛擬內(nèi)存參數(shù)，將原來的MEM_ARGS參數(shù)最小和最大內(nèi)存都調(diào)整為1024 MB。

原來的參數(shù)為：set MEM_ARGS=-Xms256m -Xmx512m

而調(diào)整后的參數(shù)為：set MEM_ ARGS=-Xms1024m -Xmx 1024m

筆者通過重啟bsu.cmd程序，執(zhí)行上述查詢補(bǔ)丁安裝情況命令，但還是拋出“java.lang.OutOfMemory Error:Java heap space”虛擬內(nèi)存不足錯(cuò)誤。

筆者心想可以給Weblo gic打個(gè)補(bǔ)丁，設(shè)置1 GB的內(nèi)存還不夠嗎？于是繼續(xù)增加內(nèi)存數(shù)，這次筆者直接將MEM_ARGS參數(shù)最小和最大內(nèi)存都調(diào)整為2048 MB，并重啟bsu.cmd程序執(zhí)行查詢命令。但這次竟拋出了新錯(cuò)誤“Error occurred during initialization of VM”，如圖2所示。

圖1 出現(xiàn)“java.lang.OutOfMemoryError:Java heap space”錯(cuò)誤提示

圖2 出現(xiàn)“Error occurred during initialization of VM”的新錯(cuò)誤提示

這次報(bào)錯(cuò)竟然是內(nèi)存給的太大，程序連初始化都無法完成了。這可怎么辦呢？內(nèi)存給大了程序無法啟動(dòng)，給小了補(bǔ)丁無法升級(jí)完成。經(jīng)查32位的JDK最大只能支持1.5 GB內(nèi)存，所以筆者把MEM_ARGS參數(shù)的最小和最大內(nèi)存設(shè)置為1.5 GB，set MEM_ARGS=-Xms1536m -Xmx1536m，這次程序能夠正常啟動(dòng)，執(zhí)行查詢命令成功，如圖3所示。

筆者按捺住心中小小的激動(dòng)，趕緊執(zhí)行以下安裝補(bǔ)丁命令：

bsu.cmd -install -patch_download dir=%Weblogic_Home%utilssucache_dir-patch list=8K1U -prod_dir=%Weblogic_Home%wl server_10.3

結(jié)果這次很悲催，虛擬內(nèi)存不足的命令又拋出了。

看來用32位的JDK環(huán)境是無法完成Weblogic補(bǔ)丁升級(jí)的任務(wù)了。而這臺(tái)服務(wù)器上的應(yīng)用程序相對(duì)開發(fā)的時(shí)間比較早，最大只能支持32位的1.6版本的JDK環(huán)境，不能安裝更高版本的JDK。

至此情況陷入了僵局。那么能不能給bsu.cmd程序單獨(dú)指定64位的1.8版本的JDK環(huán)境，而保留原來的系統(tǒng)Java環(huán)境不變呢？說干就干，按照這一思路，首先筆者在自己的辦公微機(jī)上安裝64位的1.8版本的JDK環(huán)境，將安裝好的環(huán)境上傳到服務(wù)器，當(dāng)做綠色軟件使用。上傳完成后，筆者修改bsu.cmd程序的JAVA_HOME路徑，將SET JAVA_HOME=C:Javajdk160_29修改為SET JAVA_HOME=C:Javajdk1.8.0_131，同時(shí)修改MEM_ARGS參數(shù)的最小和最大內(nèi)存為4 GB，set MEM _ ARGS=-Xms4096m-Xmx4096m。重啟bsu.cmd程序后，程序能正常啟動(dòng)，輸入安裝補(bǔ)丁的命令，終于出現(xiàn)了久違的界面。在經(jīng)過耐心的等待后，終于提示補(bǔ)丁安裝成功，如圖4所示。

后來筆者經(jīng)過多次測試發(fā)現(xiàn)，給Weblogic安裝最新的補(bǔ)丁，最少需要3 GB的內(nèi)存，才不會(huì)拋出虛擬內(nèi)存不足的錯(cuò)誤。當(dāng)然，如果服務(wù)器內(nèi)存夠大的話，給的內(nèi)存越多越好，因?yàn)?4位JDK理論上可以支持128 GB內(nèi)存。因?yàn)榻o的內(nèi)存越大，補(bǔ)丁的安裝速度越快。

圖3 執(zhí)行查詢命令成功

圖4 補(bǔ)丁安裝成功

自此筆者探索出了一條新路，特別是一些只能運(yùn)行在32位版本比較低的JDK環(huán)境的Java應(yīng)用程序，可以從別的地方復(fù)制一個(gè)最新的64位的JDK 1.8的運(yùn)行環(huán)境到本機(jī)，當(dāng)做綠色軟件使用，而不用安裝。這樣既不會(huì)破壞本機(jī)比較老的JDK環(huán)境，又可以通過配置讓需要使用高版本JDK的應(yīng)用程序使用新環(huán)境，既確保了生產(chǎn)，又確保了安全，實(shí)現(xiàn)了雙贏。

經(jīng)過這次小小的波折，筆者發(fā)現(xiàn)辦法總比困難多。在此之前筆者曾經(jīng)都想著放棄給這臺(tái)服務(wù)器的Weblogic中間件打補(bǔ)丁了，但后來經(jīng)過不斷嘗試，終于克服困難，完成升級(jí)。

筆者對(duì)此頗有感悟，有時(shí)助力很重要，通過巧用JDK 1.8運(yùn)行環(huán)境，順利地完成單位的系統(tǒng)安全加固任務(wù)。

說明：%Weblogic_Home%是指WebLogic的安裝目錄，例如，筆者的就是：C:OracleMiddleware。Weblogic版本號(hào)為10.3.6。