当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0139713

漏洞标题：中国招投标网存在struts远程命令执行漏洞及可疑木马文件，会导致源码及招投标内容泄漏

相关厂商：江苏华招网技术有限公司

漏洞作者： 路人甲

提交时间：2015-09-10 14:06

修复时间：2015-10-26 13:36

公开时间：2015-10-26 13:36

漏洞类型：命令执行

危害等级：中

自评Rank：6

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-10： 细节已通知厂商并且等待厂商处理中
2015-09-11： cncert国家互联网应急中心暂未能联系到相关单位，细节仅向通报机构公开
2015-09-21： 细节向核心白帽子及相关领域专家公开
2015-10-01： 细节向普通白帽子公开
2015-10-11： 细节向实习白帽子公开
2015-10-26： 细节向公众公开

简要描述：

中国招投标网存在struts远程命令执行漏洞及可疑木马文件，
经测试，漏洞可被利用，导致源码及招投标内容泄漏

详细说明：

1 发现漏洞地址
http://**.**.**.**/infobidding/detailNewsAction.do?infoId=79358&isfile=2
2使用struts漏洞利用工具上传木马
http://**.**.**.**/infobidding/bak.jsp
通过菜刀连接此木马
可以控制服务器
导致上传的招标的信息泄漏

服务器文件列表.png


3 数据库链接配制

jdbc.username = info
jdbc.password = k98wnt5s
jdbc.url = jdbc:oracle:thin:@**.**.**.**:1521:infodb
jdbc.driverClassName = oracle.jdbc.driver.OracleDriver
initialSize=15
maxActive=300
maxIdle=2
minIdle=5
sqlserver.url = jdbc:sqlserver**.**.**.**:1433;SelectMethod=Cursor;DatabaseName=anjy
sqlserver.driver = com.microsoft.sqlserver.jdbc.SQLServerDriver
sqlserver.uid = sa
sqlserver.pwd =microjlb6132737
sqlserver2.url = jdbc:sqlserver**.**.**.**:1433;SelectMethod=Cursor;DatabaseName=cjinfo
sqlserver2.driver = com.microsoft.sqlserver.jdbc.SQLServerDriver
sqlserver2.uid = sa
sqlserver2.pwd =microjlb6132737


4 同时发现已有木马在根目录
http://**.**.**.**/infobidding/mytesttest.jsp 木马位置

漏洞证明：

服务器文件列表.png

修复方案：

1 升级struts
2 删除木马，定期查看日志

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-09-11 13:35

厂商回复：

CNVD确认并复现所述情况，已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供修复方案。

最新状态：

暂无