漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-019986
漏洞标题：struts2集合礼包(附搜索struts2漏洞利用的方式)
相关厂商：平顶山市行政服务中心、重庆市万州区公共资源综合交易中心、抚宁县政府、潮州市地方税务局
漏洞作者： eval
提交时间：2013-03-12 21:16
修复时间：2013-04-26 21:16
公开时间：2013-04-26 21:16
漏洞类型：命令执行
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-12： 细节已通知厂商并且等待厂商处理中
2013-03-15： 厂商已经确认，细节仅向厂商公开
2013-03-25： 细节向核心白帽子及相关领域专家公开
2013-04-04： 细节向普通白帽子公开
2013-04-14： 细节向实习白帽子公开
2013-04-26： 细节向公众公开
简要描述：
手里攒的struts2礼包，发出来吧，刷刷rank值 攒够了再入手一个xsser.me的邀请码
详细说明：
平顶山市行政服务中心
执行连接：http://www.pdsspzx.gov.cn/spDepartRepertory/spDepartRepertory!repList.action?deptid=32&domainCode=PDSS
重庆市万州区公共资源综合交易中心
执行连接：http://www.wzggzy.net/index!index.action?department.code=zhongxin
抚宁县政府
执行连接：http://www.chinafuning.gov.cn/funing/front/wsbsthird.action?id=120&tid=306
潮州市地方税务局
执行连接：http://www.gcjs.chaozhou.gov.cn/index!department.action?level=3®ionID=1&departmentID=158
几乎有洞的地方上传一下都能拿下shell，不一一去发了。shell了
漏洞证明：
http://www.pdsspzx.gov.cn/fckeditor/editor/fckeditor.jsp
拿shell太容易了，几乎都是system的权限，提权也很简单，没啥意思，感觉危害还是有，一起发了。不少站点都被人捅烂了的，有的站上的shell都超过10个以上。
顺便说下通过搜索引擎搜struts2是最快的方法。
一般都是通过如下组合方式来搜索：
例如你想搜政府的。
不多说：
title:政府 inurl:*.action
再通过- 来排除自己不想要的结果就可以了，其他的依此类推即可。
修复方案：
发出来，肯定会断一些人的财路，但个人认为，互联网的安全不正是由我们这些白帽子撑起来的一片蓝天么？互联网的发展，离不开白帽子的辛勤努力。
修复方案么？百度一下就好了，升级struts,清查后门。方法太多太多了，没什么好建议的了。
版权声明：转载请注明来源 eval@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2013-03-15 16:07
厂商回复：
CNVD确认并复现所述情况，已经在13日下午分别转由CNCERT河南、重庆、广东等地分中心(仅处理地市级以上政府部门网站事件)，由其进一步协调网站管理方处置。
按通用软件漏洞进行评分，rank=12
最新状态：
暂无