当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0184701

漏洞标题：中国银行业协会某选聘系统存在命令执行漏洞/root权限/已getshell

相关厂商：中国银行业协会

漏洞作者： 路人甲

提交时间：2016-03-15 13:50

修复时间：2016-05-02 18:01

公开时间：2016-05-02 18:01

漏洞类型：命令执行

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-15： 细节已通知厂商并且等待厂商处理中
2016-03-18： 厂商已经确认，细节仅向厂商公开
2016-03-28： 细节向核心白帽子及相关领域专家公开
2016-04-07： 细节向普通白帽子公开
2016-04-17： 细节向实习白帽子公开
2016-05-02： 细节向公众公开

简要描述：

rt

详细说明：

mask 区域 
*****ees/ind*****
**********
*****b295bfcc090a2ea67e02.png&qu*****
**********
**********
*****^^^*****
1.://**.**.**/_
**********
**********
*****序列化*****
*****4633407b4921e225b906.png&qu*****
**********
*****e21bf1f67e0cec349a37.png&qu*****
**********
*****地*****
**********
*****ees/hey.jsp 0*****
**********
*****0b3a5dda016ed4052464.png&qu*****
**********
*****;ifcon*****
*****et  HWaddr B4:*****
*****TICAST  MTU:*****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****.0 b)  TX by*****
***** Memory:f400*****
**********
*****et  HWaddr B4:*****
*****TICAST  MTU:*****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****.0 b)  TX by*****
*****Memory:f2000*****
**********
*****et  HWaddr B4:*****
*****Bcast:**.**.**.*******
*****699:baff:feb9:1*****
*****G MULTICAST  MT*****
*****errors:0 dropped*****
*****rors:0 dropped:0 *****
*****s:0 txqueu*****
*****.0 Mb)  TX bytes:31*****
***** Memory:f800*****
**********
*****et  HWaddr B4:*****
*****TICAST  MTU:*****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****.0 b)  TX by*****
***** Memory:f600*****
**********
*****cap:Local*****
*******.**.**  Ma*****
*****r: ::1/128*****
*****UNNING  MTU:*****
*****rrors:0 dropped:*****
*****ors:0 dropped:0 o*****
*****ons:0 txq*****
*****.7 Mb)  TX bytes:4*****
**********
*****cap:IPv6-*****
*****MTU:1480 *****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****ons:0 txq*****
***** TX bytes:0 (0.*****

漏洞证明：

**.**.**.**/tees/hey.jsp 024

修复方案：

websphere java反序列化命令执行

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2016-03-18 18:01

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT直接通报给对应银行集团公司,由其后续协调网站管理部门处置.

最新状态：

暂无

漏洞评价：

评价