WooYun.org

通常在做反向代理、负载均衡或集群等情况时，都会使用两种或多种不同web容器搭配使用（特别在j2ee应用上体现更明显（如：Ngnix + Tomcat ;Apache + Tomcat）），由于配置不当，造成上述问题，昨天发现此问题的站点就不下上百个，今天发现你们应用尤其鲜明：

首先看这个：
http://enp.letv.com/WEB-INF/web.xml (指向同一ip的域名比较多哦！所以很多Struts2远程代码执行的漏洞都在这一ip找到的！这个有人提醒给你们的，好象你们不是很重视！)

可浏览web.xml是会导致整个应用结构暴露的，这是j2ee的一个特点，同时加上使用的MVC模式的开源常用框架，所以文件读取尤其简单了，各个配置文件被读取也简单了。
http://enp.letv.com/WEB-INF/classes/struts.xml
http://enp.letv.com/WEB-INF/classes/struts_manager.xml
http://enp.letv.com/WEB-INF/classes/struts_user.xml
http://enp.letv.com/WEB-INF/classes/struts_ad.xml
http://enp.letv.com/WEB-INF/classes/application_config.xml

其他文件及敏感信息不一一列举了，看个你们防Struts2远程代码执行的一个拦截器源代码：

package com.letv.enp.web;
import java.io.IOException;
import java.util.Map;
import java.util.Set;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
public class EnpFilter extends HttpServlet
  implements Filter
{
  private static final long serialVersionUID = -3887911983201144807L;
  public final void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain chain)
    throws IOException, ServletException
  {
    HttpServletRequest request = (HttpServletRequest)servletRequest;
    HttpServletResponse response = (HttpServletResponse)servletResponse;
    if (request.getParameterMap().size() > 0) {
      Set set = request.getParameterMap().keySet();
      boolean auth = false;
      for (String key : set)
      {
        if ((key.indexOf("#") > -1) || (key.indexOf("\\u0023") > -1) || (key.indexOf("\\43") > -1) || (key.indexOf("\\043") > -1)) {
          auth = true;
          break;
        }
      }
      if (auth) {
        response.sendRedirect("http://enp.letv.com");
        return;
      }
    }
    chain.doFilter(servletRequest, servletResponse);
  }
  public void init(FilterConfig arg0)
    throws ServletException
  {
  }
}

对两种带有“#”关键编码方式的拦截，喜欢绕过的童子们，绕绕看！

接下再看两处：
第一个：http://220.181.117.74/letv/WEB-INF/web.xml
这个就不多说了，懒得去看了！

重点说接下来的这个：http://passport.letv.com/
另个造成这一问题的典型case,这个直接是目录浏览。当看到这个应用的域名时，哥瞬间被战术性击倒，相信你们的系统架构师也同样如此。

统一登录应用，它暴露的的东西就太多了（重复一句，在j2ee应用尤其明显），其他就不多说了，只说j2ee暴露的典型问题。

http://passport.letv.com/WEB-INF/web.xml
查看配置文件，发现这一应用跟域名显示的一样，比较庞大。

如：与人人的接口：

以及memcached众多配置信息（多插一句，发现都喜欢用阿里的memcached规范，真有这么好？）：