当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0193206

漏洞标题:新疆农村信用社某处命令执行getshell/root权限/可探测内网

相关厂商:CNCERT

漏洞作者: 路人甲

提交时间:2016-04-06 20:30

修复时间:2016-05-23 11:00

公开时间:2016-05-23 11:00

漏洞类型:命令执行

危害等级:高

自评Rank:12

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-06: 细节已通知厂商并且等待厂商处理中
2016-04-08: 厂商已经确认,细节仅向厂商公开
2016-04-18: 细节向核心白帽子及相关领域专家公开
2016-04-28: 细节向普通白帽子公开
2016-05-08: 细节向实习白帽子公开
2016-05-23: 细节向公众公开

简要描述:

rt

详细说明:

mask 区域
*****.*******
1.http://**.**.**/paybank/_
**********
*****727037962716ff28eacb.png&qu*****
**********
*****洞^*****
2.https://**.**.**/_
*****序列化*****
*****权*****
**********
*****53644798f3d91b4ec5b4.png&qu*****
**********
3.http://**.**.**/paybank/jump.jsp_
*****f90396422c9f51ddccb4.png&qu*****
*****jsp ^*****
4.https://**.**.**/list.html_
**********
*****4445f19954279d1ed2e1.png&qu*****
**********
*****程^*****
***** ^*****
5.http://**.**.**/paybank/14n.jsp 密码 024_
**********
**********
*****b620fc66df81c3f4f91e.png&qu*****
**********
*****fig*****
**********
*****;ifcon*****
*****et HWaddr 40:*****
*****TICAST MTU:*****
*****:0 dropped:0 ov*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****.0 b) TX by*****
*****90580000-*****
**********
*****et HWaddr 40:*****
***** Bcast:**.**.*******
*****2f2:e9ff:fe2c:b*****
*****G MULTICAST MT*****
*****ors:0 dropped:0*****
*****s:0 dropped:0 ov*****
*****s:0 txqueu*****
*****6 KiB) TX bytes*****
*****905a0000-*****
**********
*****et HWaddr 40:*****
***** Bcast:**.**.*******
*****2f2:e9ff:fe2c:b*****
*****G MULTICAST MT*****
*****rrors:0 dropped:*****
*****ors:0 dropped:0 o*****
*****s:0 txqueu*****
*****4 GiB) TX bytes:*****
*****905c0000-*****
**********
*****et HWaddr 40:*****
***** Bcast:**.**.*******
*****TICAST MTU:*****
*****ors:0 dropped:0*****
*****s:0 dropped:0 ov*****
*****s:0 txqueu*****
*****9 KiB) TX bytes*****
*****905e0000-*****
**********
*****cap:Local*****
*******.**.** Ma*****
*****r: ::1/128*****
*****UNNING MTU:*****
*****rrors:0 dropped:*****
*****ors:0 dropped:0 o*****
*****ons:0 txq*****
*****4 GiB) TX bytes:*****
**********
*****et HWaddr 42:*****
*****0f2:e9ff:fe2c:b*****
*****G MULTICAST MT*****
*****rors:0 dropped:0*****
*****:0 dropped:0 ov*****
*****s:0 txqueu*****
*****38.7 MiB) TX b*****
*****de&g*****
**********
*****bank 是网*****
**********
*****53e2c6e93c2b44c0bf8b.png&qu*****
**********
*****^^*****
**********
*****gt;ar*****
*****a1:0e:05:46 [*****
*****a1:0e:05:27 [*****
*****8b:39:c2:53 [*****
*****e8:74:85:f8 [*****
*****de&g*****
*****2571894edd3488f73942.png&qu*****
**********
*****这^*****

漏洞证明:

111.png

修复方案:

websphere java反序列化命令执行

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2016-04-08 10:56

厂商回复:

CNVD未复现所述情况,已经转由CNCERT向银行业信息化主管部门通报,并抄报新疆分中心协助处置,由其后续协调网站管理单位处置.

最新状态:

暂无


漏洞评价:

评价