当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0193206

漏洞标题：新疆农村信用社某处命令执行getshell/root权限/可探测内网

相关厂商：CNCERT

漏洞作者： 路人甲

提交时间：2016-04-06 20:30

修复时间：2016-05-23 11:00

公开时间：2016-05-23 11:00

漏洞类型：命令执行

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-06： 细节已通知厂商并且等待厂商处理中
2016-04-08： 厂商已经确认，细节仅向厂商公开
2016-04-18： 细节向核心白帽子及相关领域专家公开
2016-04-28： 细节向普通白帽子公开
2016-05-08： 细节向实习白帽子公开
2016-05-23： 细节向公众公开

简要描述：

rt

详细说明：

mask 区域 
*****.*******
1.http://**.**.**/paybank/_
**********
*****727037962716ff28eacb.png&qu*****
**********
*****洞^*****
2.https://**.**.**/_
*****序列化*****
*****权*****
**********
*****53644798f3d91b4ec5b4.png&qu*****
**********
3.http://**.**.**/paybank/jump.jsp_
*****f90396422c9f51ddccb4.png&qu*****
*****jsp ^*****
4.https://**.**.**/list.html_
**********
*****4445f19954279d1ed2e1.png&qu*****
**********
*****程^*****
***** ^*****
5.http://**.**.**/paybank/14n.jsp 密码 024_
**********
**********
*****b620fc66df81c3f4f91e.png&qu*****
**********
*****fig*****
**********
*****;ifcon*****
*****et  HWaddr 40:*****
*****TICAST  MTU:*****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****.0 b)  TX by*****
*****90580000-*****
**********
*****et  HWaddr 40:*****
*****  Bcast:**.**.*******
*****2f2:e9ff:fe2c:b*****
*****G MULTICAST  MT*****
*****ors:0 dropped:0*****
*****s:0 dropped:0 ov*****
*****s:0 txqueu*****
*****6 KiB)  TX bytes*****
*****905a0000-*****
**********
*****et  HWaddr 40:*****
*****  Bcast:**.**.*******
*****2f2:e9ff:fe2c:b*****
*****G MULTICAST  MT*****
*****rrors:0 dropped:*****
*****ors:0 dropped:0 o*****
*****s:0 txqueu*****
*****4 GiB)  TX bytes:*****
*****905c0000-*****
**********
*****et  HWaddr 40:*****
*****  Bcast:**.**.*******
*****TICAST  MTU:*****
*****ors:0 dropped:0*****
*****s:0 dropped:0 ov*****
*****s:0 txqueu*****
*****9 KiB)  TX bytes*****
*****905e0000-*****
**********
*****cap:Local*****
*******.**.**  Ma*****
*****r: ::1/128*****
*****UNNING  MTU:*****
*****rrors:0 dropped:*****
*****ors:0 dropped:0 o*****
*****ons:0 txq*****
*****4 GiB)  TX bytes:*****
**********
*****et  HWaddr 42:*****
*****0f2:e9ff:fe2c:b*****
*****G MULTICAST  MT*****
*****rors:0 dropped:0*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****38.7 MiB)  TX b*****
*****de&g*****
**********
*****bank 是网*****
**********
*****53e2c6e93c2b44c0bf8b.png&qu*****
**********
*****^^*****
**********
*****gt;ar*****
*****a1:0e:05:46 [*****
*****a1:0e:05:27 [*****
*****8b:39:c2:53 [*****
*****e8:74:85:f8 [*****
*****de&g*****
*****2571894edd3488f73942.png&qu*****
**********
*****这^*****

漏洞证明：

111.png

修复方案：

websphere java反序列化命令执行

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2016-04-08 10:56

厂商回复：

CNVD未复现所述情况,已经转由CNCERT向银行业信息化主管部门通报,并抄报新疆分中心协助处置,由其后续协调网站管理单位处置.

最新状态：

暂无

漏洞评价：

评价