漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-091569
漏洞标题：西南交大存在struts2命令执行漏洞 ，导致大量学生教师信息泄露
相关厂商：西南交大
漏洞作者： llongwei
提交时间：2015-01-14 17:09
修复时间：2015-01-19 17:10
公开时间：2015-01-19 17:10
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-14： 细节已通知厂商并且等待厂商处理中
2015-01-19： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
一不小心找到的！真的是一不小心！！
看到乌云上还没有该漏洞，就提交了！
详细说明：
正巧一个基友在交大读研，就上交大的官网看了看，碰巧发现其研究生招生网存在struts2命令执行漏洞。
http://www.xnjd.com.cn/zs/IndexZS_index.action
数据库：
学生信息（包括 姓名，邮箱，QQ，电话，住址，身份证等等，连父母干啥，住哪的都有！要泡妹妹的赶紧了！）：
妈妈再也不用担心我找不到女朋友家了，连岳父岳母的电话都顺便搞定：
教师信息：
通过获得的学生信息，登录管理界面：
最后感慨一句，还是读书好啊，随便拿个奖学金就是一万大洋！！够我不吃不喝干一年了！！
哎，屌丝的气质暴漏无疑啊！
还可继续内网渗透：
不想深入了，到此为止！
漏洞证明：
同上
修复方案：
自己看着办吧，你们那么有钱！！
版权声明：转载请注明来源 llongwei@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-01-19 17:10
厂商回复：
最新状态：
暂无