漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023963
漏洞标题：众多科研机构政府其他公司struts 漏洞
相关厂商：kfy.whu.edu.cn
漏洞作者： p0di
提交时间：2013-05-18 11:50
修复时间：2013-07-02 11:51
公开时间：2013-07-02 11:51
漏洞类型：命令执行
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-18： 细节已通知厂商并且等待厂商处理中
2013-05-22： 厂商已经确认，细节仅向厂商公开
2013-06-01： 细节向核心白帽子及相关领域专家公开
2013-06-11： 细节向普通白帽子公开
2013-06-21： 细节向实习白帽子公开
2013-07-02： 细节向公众公开
简要描述：
struts 2 漏洞过去很久了，但还是有很多懒人的。
没补就成这样了
详细说明：
武汉大学科研院http://kfy.whu.edu.cn/kfy/infsearch.action
西藏大学科研处 http://kyc.utibet.edu.cn/index.action?method=branchContent&id=44
中国计算机学会 http://conf.ccf.org.cn/ccice/firstPage/index.action
天津计量监督检查科学研究院 http://www.tjjl.ac.cn/index.action
广东省显示材料于技术重点实验室http://display.sysu.edu.cn/web/webInstrument!list.action
杭州经济技术开发区统计 http://www.hedatj.gov.cn/cms/list!detail.action
沈阳市房产网 http://www.syfc.gov.cn/fqzj/fcxx.action
四川大学人才培养中心http://www.scdxcfo.net/items/index.action?item_id=22
华林药业http://www.hualin.com.cn/zpxxAction!index.action
中译软件http://www.sunnysky.net.cn/channel!Index.action
流金网络http://www.ljsy.net/index.action
之前别人提交的很多也没修复。
部分可shell，西藏大学和广大省显示材料服务器已经控制，其他的没深做，不过应该可以拿下服务器。
漏洞证明：
大部分可shell，西藏大学和广东显示材料服务器可控制。
简单的命令执行:
shell大部分已经删除了留一个做证明。
服务器控制的就不必上图了吧。
上面哪些命令说明一切了。
windows内网ip的可以写.vbs下载lcx你懂的。
linux就更简单了直接,wget 反弹回连，后面更happy。
修复方案：
该升级的升级。
一些特殊的命令禁止了吧。
IP最好换成内网的（不过仍然可以突破！）
赶紧修复吧，其中某个已经传了很多后门了。
版权声明：转载请注明来源 p0di@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-05-22 23:22
厂商回复：
CNVD确认并复现所述情况，部分事件已经在前几日在协调处置中，对于高校网站，拟转发教育网应急组织处置，而其他涉及企业的网站，由于暂未直接建立处置渠道，未列入CNVD处置流程。
rank 10
最新状态：
暂无