Web安全：中间件漏洞

中间件一般指的是IIS、Apache、Nginx、Tomcat及Weblogic等一系列Web服务器中间件。中间件存在漏洞会直接威胁Web服务器代码及后台数据库的安全。

以前出现过的中间件漏洞一般是文件解析漏洞，例如IIS文件解析漏洞、Apache文件解析漏洞及Nginx文件解析漏洞等。如今我们说操作系统内核出现了漏洞，则是内核代码出现了安全问题，我们将其称为内核漏洞，如MS08067漏洞等。中间件直接依附于操作系统的存在而存在，它们是仅次于操作系统的系统软件，它们出现了漏洞，即为中间件漏洞。

例如IIS的Unicode编码漏洞及Apache文件解析漏洞等都是中间件漏洞，这类漏洞的修复须配合中间件开发人员进行修复。中间件漏洞是一种非常严重的漏洞。内核漏洞及中间件漏洞的上层就是Web应用漏洞，这三个层面中的任何一个层面的安全没有得到保证，那么整体的安全也就无法保证，攻击者进入系统将可能如入无人之境。

某站存在中间件（反序列化）漏洞。Weblogic中间件系统中的commonscollections.jar包存在反序列化漏洞，凡是引用了该jar包的项目都存在该漏洞。此时，攻击者通过该漏洞来进行文件上传与命令执行。例如上传1.jsp至IP地址为172.19.11.112的服务器，如图1所示。