乌云(WooYun.org)历史漏洞查询---http://wy.zone.ci/
乌云 Drops 文章在线浏览--------http://drop.zone.ci/
2015-03-26： 细节已通知厂商并且等待厂商处理中 2015-03-26： 厂商已经确认，细节仅向厂商公开 2015-03-29： 细节向第三方安全合作伙伴开放 2015-05-20： 细节向核心白帽子及相关领域专家公开 2015-05-30： 细节向普通白帽子公开 2015-06-09： 细节向实习白帽子公开 2015-06-24： 细节向公众公开
东软某通用web程序存在任意文件上传漏洞(涉及大量政务|公积金|人社局等单位)建议乌云审核人员将该漏洞同时通报给cncert进行联合处理和监督。
东软uniportal程序存在任意文件上传漏洞，成功获取webshell后可以进一步在被控业务系统内获取公民敏感信息，测试中发现部分业务系统与内网具有关联性，如公积金系统。综合利用此次东软漏洞可以攻击社会基础服务，利用获取到敏感信息用于钓鱼和诈骗使用，危害很大。建议乌云审核人员将该漏洞同时通报给cncert进行联合处理和监督。
漏洞地址收集日期为2014年如遇无法访问或者上传失败请多次测试几个案例收集的单位有
西宁劳动就业服务网营口市住房公积金乌鲁木齐市住房公积金管理中心太原市政务服务中心虚拟大厅服务天津市人力资源和社会保障局泰安市国土资源局沈阳市残疾人联合会山东省中小企业公共服务平台秦皇岛外事办网秦皇岛市社会资源和人力保障局卢龙县人民政府网站盘锦市人力资源和社会保障网本溪市社会资源和人力保障局南通市社会资源和人力保障局延边州人力资源和社会保障局汪清县人力资源和社会保障局珲春是人力资源和社会保障局天津政府公共就业服务网邢台市人力资源和社会保障局承德市人力资源和社会保障局邯郸市社会保障中心兰州长春市住房保障和房地产管理局宝鸡卫生信息网内蒙古内蒙古自治区社会保障卡服务网潍坊市窗口服务平台内蒙古自治区人力资源和社会保障 金乡大蒜产业集群窗口服务平台大庆市禁毒办大庆公安局河北省大中专毕业生就业指导信息网唐山市人力资源和社会保障局陕西省住房保障信息网鸡西市住房公积金管理中心鞍山市就业网抚顺市房产管理局辽宁省新型农村合作医疗网东莞市住房公积金管理中心沈阳市气象局襄阳市房产公共服务网太原市政务服务中心龙井市人力资源和社会资源保障局秦皇岛技师学院青岛市慈善总会朝阳市住房公积金管理中心内蒙古档案信息网廊坊市就业网陕西住房保障信息网鹤壁市住房公积金管理中心河北省大中专毕业生就业指导信息网梅州市社会保险网秦皇岛市工业和信息化局
地址如下
http://xnldjy.cn/ecdomain/http://www.ykgjjzx.gov.cn/ecdomain/http://www.wlmqgjj.com/ecdomain/http://www.tyzwzx.gov.cn/ecdomainhttp://www.tjlss.gov.cn/ecdomain/http://www.tagt.gov.cn/ecdomain/http://www.sydpf.org.cn/ecdomainhttp://www.smesd.gov.cn/ecdomain/http://121.22.127.45/ecdomainhttp://www.qhdrsj.gov.cn/ecdomain/http://www.lulong.gov.cn/ecdomainhttp://www.lnpj.hrss.gov.cn/ecdomain/http://www.lnbxhrss.gov.cn/ecdomain/http://www.jsnt.lss.gov.cn/ecdomain/http://www.jlyb.lss.gov.cn/ecdomain/http://www.jlwq.lss.gov.cn/ecdomainhttp://www.jlhc.lss.gov.cn/ecdomainhttp://www.ijob.gov.cn/ecdomainhttp://www.hext.lss.gov.cn/ecdomainhttp://www.hecd.lss.gov.cn/ecdomainhttp://www.handanshebao.com.cn/ecdomain/http://www.gslz.lss.gov.cn/ecdomain/http://www.ccfdw.gov.cn/ecdomainhttp://www.bjws.gov.cn/ecdomain/http://www.12333s.cn/ecdomain/http://www.12333k.cn/ecdomain/http://wf.smesd.gov.cn/ecdomainhttp://nm.hrss.gov.cn/ecdomainhttp://lw.smesd.gov.cn/ecdomainhttp://jdzd.daqing.gov.cn/ecdomain/http://gaj.daqing.gov.cn/ecdomain/http://110.249.254.133/ecdomain/http://www.hets.lss.gov.cn/ecdomain/http://113.200.73.152:9000/ecdomainhttp://gjj.jixi.gov.cn:7003/ecdomain/http://www.asjy.gov.cn/ecdomainhttp://www.fsfc.gov.cn/ecdomain/http://www.lnsxnh.com/ecdomain/http://www.dggjj.cn/ecdomainhttp://www.tqyb.cc/ecdomain/http://www.xysfq.com/ecdomain/http://www.tyzwzx.gov.cn/ecdomain/http://rsj.longjing.gov.cn/ecdomain/http://www.qhdgj.com.cn/ecdomainhttp://www.qdcs.org/ecdomainhttp://www.cygjj.gov.cn/ecdomain/http://www.archives.nm.cnhttp://60.10.9.216/ecdomainhttp://www.shaanxibzzf.gov.cn/ecdomainhttp://www.hbsgjj.cn/ecdomainhttp://110.249.254.133/ecdomainhttp://119.146.131.195/ecdomainhttp://121.22.127.117/ecdomain
可以利用百度检索
inurl:/ecdomain/
获取更多案例演示案例
http://www.ccfdw.gov.cn/ecdomain
测试代码见“测试代码"区域
上传成功后的webshell地址为
http://www.ccfdw.gov.cn/ecdomain/portal/webpages/web/images/FileName.jsp
如本次webshell地址为
http://www.ccfdw.gov.cn/ecdomain/portal/webpages/web/images/wooyun.jsp
密码为
wooyun
危害等级：高
漏洞Rank：18
确认时间：2015-03-26 14:03
CNVD确认所述情况，已经由CNVD通过以往建立的处置渠道向软件生产厂商及各分中心通报。
暂无
