漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025895
漏洞标题：甘肃电信网上营业厅命令执行漏洞
相关厂商：甘肃电信网上营业厅
漏洞作者： M4sk
提交时间：2013-06-14 10:54
修复时间：2013-06-14 12:10
公开时间：2013-06-14 12:10
漏洞类型：命令执行
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-14： 细节已通知厂商并且等待厂商处理中
2013-06-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
命令执行！
详细说明：
地址：http://61.178.24.86/webShop/flowCard/gotoIndex.action?productBigType=7&configId=
刚开始一看，以为这不是甘肃电信的地址，看起来不像~ - -
于是百度搜 甘肃电信网上营业厅 得到的地址是http://gs.189.cn/
于是将两个网址浏览器打开对比一下，最后确定应该是同一网站....
但是你检测这个地址：http://gs.189.cn/webShop/flowCard/gotoIndex.action?productBigType=7&configId=
提示服务器不存在漏洞。
无语的是你检测这个地址:http://61.178.24.86/webShop/flowCard/gotoIndex.action?productBigType=7&configId=
又是成功的，说明有漏洞存在 - - 我汗。。。。
下面上图：
<img src="/upload/201306/14031612dcbd5
110c8739a0e422ce458c8775799.jpg" alt="2.jpg" />
各种的各种我无语。。。
漏洞证明：
修复方案：
你比我懂！
版权声明：转载请注明来源 M4sk@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-06-14 12:10
厂商回复：
14日中午测试，已经不存在。
最新状态：
暂无