WooYun.org

1.兰州大学数字校园 http://map.lzu.edu.cn/

2.发现是低版本的jboss

Jmx-console和web-console都删掉了，发现存在inovker接口：

执行命令获取系统信息：

getshell：

访问测试：

权限很大，是root，想干啥就干啥:

部署一个大马，方便查看：

数据库配置信息：

连接数据库：
202.201.1.60 3306对外开放：

举一个例子：
Jos-user表：

6w多条用户信息泄漏：

连接202.201.0.231 1521oracle：

举一个例子：
Sys_user表：

连接202.201.0.232 1521oracle：

举一个例子：

Md5解密：

上面还有其他的应用，同样的数据库都是一直的，大量的信息泄漏：

已经有人来过了，举个例子：

当然了，拿到了登录帐号信息，三个站点后台图片验证码出问题了，登录不了，举一个例子（其他连个站点问题一样）：

问题确实存在，尽快修复吧。
此次测试webshell地址：
菜刀马：http://map.lzu.edu.cn/is/index.jsp 023
大马：http://map.lzu.edu.cn/is/jspspy.jsp test@123