WebLogic 啟動後無法進入控制台：SYN_RCVD 連線洪水攻擊排查實錄

問題現象

WebLogic 啟動正常、進程存在、日誌無錯誤，但瀏覽器訪問控制台與應用皆顯示空白頁面，連登入介面都無法載入。重啟可暫時恢復，但問題頻繁復發，最長導致系統停機 2 小時。

排查歷程

1. 初期嘗試重啟、重建 Domain/Server、修改監聽埠，均屬治標不治本。
2. 聯繫 BEA 工程師，嘗試 telnet ip port 測連通性、kill -3 導出 thread dump 分析，無果。
3. BEA 廣州售前工程師透過 VPN 發現系統存在約 70 個 SYN_RCVD 狀態連線，判定為惡意 DoS 攻擊（SYN Flood）。

驗證與解決

執行指令統計 SYN_RCVD 連線數：

netstat -an | grep SYN_RCVD | wc -l

當數量超過 70，系統基本無法訪問。最終透過雙層防火牆過濾解決：

• 外層防火牆：控制外部網路訪問。
• 內層防火牆：控制內部網路訪問。

重啟 WebLogic 後系統恢復正常。

經驗總結

1. 排查故障優先考慮網路與安全層面，不僅關注應用層日誌。
2. 嘗試斷開所有網路連線、本機訪問 可更早隔離問題來源。
3. 無錯誤提示的問題最難排查，需建立系統基線指標（連線數、埠狀態）定期巡檢。

防禦建議

• 啟用作業系統層 SYN Cookie / SYN Proxy 機制。
• 防火牆限制單一 IP 連線速率與並發數。
• WebLogic 層面調整 Accept Backlog、啟用連線過濾器。
• 定期進行滲透測試與壓力測試驗證防禦效果。