记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

某业务支撑系统命令执行威胁电信大部分核心业务

2014-11-26 23:10

http://www.lianchuang.com/

QQ截图20140828150137.png



他的业务支撑系统的验证码存在st2执行漏洞

QQ截图20140828150333.png



只要是这样子的都存在这种漏洞

QQ截图20140828150726.png



QQ截图20140828150848.png



还有很多在暗网

http://221.13.223.132:8086/verifycode/verifycode_create.action

http://office.lianchuang.com/basic/user/validNumGenerate.action

http://www.aastar.com.cn/login!validNumGenerate.action

http://202.102.108.199/verifycode/verifycode_create.action

http://202.102.41.105:8080/verifycode/verifycode_create.action

基本都是root权限

还有在systemportal/login.jsp源码里面还有账号密码

这有意思

code 区域
<!-- tr>



<td><s:textfield name="j_username" id="admin"



cssClass="login-intext" size="21" value="linkage" theme="simple" /></td>



</tr>



<tr>



<td><s:textfield name="j_password" id="password"



cssClass="login-intext" size="21" value="linkage@123" theme="simple" /></td>



</tr> -->



<tr>



<td><s:textfield name="j_username" id="admin"



cssClass="login-intext" size="21" value="" theme="simple" /></td>



</tr>



<tr>



linkage / linkage@123

http://202.102.108.199/systemportal/index.jsp

还成功登录了

看了一下这只是部分存在

关键字很多搜索引擎没有收录的























漏洞证明:

QQ截图20140828150848.png



修复方案:

厂商和这么多企业合作不负责的表现啊?

及时升级啊.


知识来源: www.wooyun.org/bugs/wooyun-2014-074226

阅读:202229 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“某业务支撑系统命令执行威胁电信大部分核心业务”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

黑帝公告 📢

永久免费持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

广而告之 💖

标签云 ☁