Axis2 提供了一个 Web 管理控制台,允许管理员在线热部署新的 Web Service。攻击者可以弱口令登录上传恶意 AAR 部署为新服务调用服务执行命令。

立即修改默认口令:编辑 WEB-INF/conf/axis2.xml 中 <parameter name="userName"> / userPassword>,设强口令 关闭或隔离管理控制台:生产环境禁用 axis2-admin,或仅允许内网/堡垒机访问;在 axis2.xml 中将 <parameter name="enableHotDeployment"> / 热部署关闭 网络层最小暴露:不要把 8080 管理端口直接暴露公网,前置 WAF/反代限制 /axis2-admin 路径。