仅用一个字符绕过WAF！Oracle PeopleSoft 顶级漏洞 (CVE-2026-35273) 攻击链深度解析

原创

Hankzheng
Hankzheng

技术修道场

2026年10月1日 10:15
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，如果你负责过企业的安全防御或者运维，肯定对 WAF（Web 应用防火墙）不陌生。很多时候，我们打上 WAF 规则就觉得万事大吉了。但最近发生的一起针对 Oracle PeopleSoft 的大规模真实攻击事件，结结实实地给所有防守方上了一课：仅仅一个字符的 URL 编码，就能让你的 WAF 规则彻底失效。

这次搞事情的是臭名昭著的 ShinyHunters 关联组织（代号 UNC6240）。他们把目光瞄准了 Oracle PeopleSoft 的一个高危漏洞——CVE-2026-35273 (CVSS 评分高达 9.8)。借着这个无需认证的远程代码执行 (RCE) 漏洞，他们已经拿下了全球几十个教育、科技、医疗和政府机构的系统。

今天，我就带大家把这个攻击链彻底拆解一遍，看看里面的技术细节到底是怎么回事。

1. 核心破防点：用“%50”把 WAF 骗得团团转

漏洞刚爆出来的时候，其实很多企业已经上了 WAF 规则，直接把存在漏洞的 Environment Management Hub (PSEMHUB) 路由给封了。

按理说，访问 /PSEMHUB/ 的恶意请求应该全被拦截对吧？但黑客用了一个极其取巧的 HTTP 解析差异技巧。

他们把请求路径改成了 /%50SEMHUB/。
这里的 %50 就是大写字母 P 的 URL 编码。

技术原理解析：

为什么这招能成？因为很多 WAF 和反向代理在进行规则匹配时，只看 URL 解码前的字面量字符串。WAF 看到 /%50SEMHUB/，一查黑名单里只有 /PSEMHUB/，就直接放行了。

但是！当请求到达后端的 PeopleSoft 应用服务器（WebLogic）时，应用服务器会老老实实地先进行 URL 解码，把它还原成 /PSEMHUB/，然后精准地把请求路由到了那个存在反序列化漏洞的 Servlet 上。

这就是典型的前端防护设备与后端中间件在解析逻辑上的不一致。就这么一个简单的绕过，让耗资巨大的 WAF 形同虚设。

2. 深入攻击链：从反序列化到WebShell落地

绕过 WAF 只是第一步。咱们接着看他们是怎么一步步拿到最高权限的。

• 第一步：Java 反序列化触发

攻击者向 /%50SEMHUB/hub 发送特制的 POST 请求，里面夹带了恶意的Java 序列化对象。利用 PSEMHUB hub servlet 处理时的反序列化漏洞，直接实现了无文件的代码执行。
* 第二步：部署战术 WebShell

为了在后渗透阶段尽量减少被杀软查杀的风险，他们在 PSEMHUB.war 目录下悄悄放了两个 JSP WebShell：

• x.jsp

负责执行跨平台的系统命令。
+ u.jsp

负责分块文件上传（Chunked Uploads），并通过调用 cmd.exe 来执行命令。分块上传是一个非常鸡贼的绕过流量检测的技巧。

3. 后渗透阶段：白加黑免杀与权限维持

拿到 WebShell 后，这帮人并没有停下。

他们利用 u.jsp 上传了一个带有合法数字签名的木马安装程序 Ple64.exe。做过安全的兄弟都知道，这就是经典的“白加黑”免杀套路。

这个程序运行后，会在内存中直接加载 SIDEEYE（一个 C++ 编写的后门）。SIDEEYE 会通过 TCP 直连外部的 C2 服务器（比如 162.219.30.165），提供反弹 Shell、反向代理、凭证窃取（包括浏览器和桌面应用）、文件管理等全套的远控功能。

为了保证持久化（Persistence），他们还上了双保险：

• 部署了开源的 Neo-reGeorg 代理工具，用来打通内网隧道。
• 在 Linux 系统上，他们甚至部署了合法的 RMM（远程监控管理）工具 MeshAgent 来做权限维持。用合法工具干非法的活儿，现在的黑客是越来越懂“伪装”了。

据 Google 披露，这批攻击者大约有 25% 的命令是直接在 root 或 NT Authority\\SYSTEM （最高权限）下执行的，属于彻彻底底的完全接管。

4. 咱们该如何防御和排查？

面对这种级别的攻击，仅仅靠单一的 WAF 显然是不够的。如果你单位也用了 Oracle PeopleSoft，我建议你立刻按下面的列表排查一遍：

• 打补丁与关服务：

赶紧给 CVE-2026-35273 打补丁！如果在多服务器环境下，直接禁用 EMHub 服务；单服务器环境的话，建议彻底删除 PSEMHUB 应用。
* 深挖日志（关键！）：

别只看拦截日志。去查 WebLogic 的访问日志，搜索请求头里有没有 /PSEMHUB/ 的任何 URL 编码变体（比如 %50 等）。
* 排查文件与网络：

检查 PSEMHUB.war 目录下有没有异常的 JSP 文件。同时，监控 PeopleSoft 主机是否有异常的对外出站流量。
* 数据库审计：

检查数据库审计日志，看看最近有没有针对 HR、薪酬、学生记录等敏感表的大批量数据查询或导出操作。这帮人（UNC6240）可是搞数据勒索的老手，一旦发现大文件在临时目录生成，可能数据已经被打包准备带走了。

💡 闲聊两句：FBI 也中招了？

有意思的是，这个 ShinyHunters 组织最近非常活跃，甚至高调宣布攻破了美国联邦调查局（FBI）的招聘网站 FBIJobs.gov，窃取了 2-3 TB 的数据。不过他们接受媒体采访时表示，黑进 FBI 用的不是上面提到的 CVE-2026-35273，而是另一个 Oracle PeopleSoft 的 0-day 漏洞，并且宣称此举是为了反击 FBI 之前对他们的指控，并非为了敲诈勒索。

无论这些黑客的动机是什么，技术是没有黑白之分的。了解他们的攻击路径，咱们才能更好地构建防御体系。

互动时间：
兄弟们在日常工作中有没有遇到过这种“因为前后端解析不一致导致 WAF 被绕过”的坑？欢迎在评论区留言交流！咱们下期技术硬核拆解再见。