当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-091210

漏洞标题：谷居网某站点漏洞可导致主站Getshell

相关厂商：谷居网

漏洞作者： ki11y0u

提交时间：2015-01-13 15:21

修复时间：2015-02-27 15:22

公开时间：2015-02-27 15:22

漏洞类型：系统/服务补丁不及时

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-02-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

0.0~~~ 要升级了。。。

详细说明：

问题站点：http://st.guju.com.cn/   IP:203.166.163.201
 You are seeing this page because development mode is enabled. Development mode, or devMode, enables extra debugging behaviors and reports to assist developers. To disable this mode, set:
  struts.devMode=false
in your WEB-INF/classes/struts.properties file.


enabled状态哦，与主站guju.com.cn为同一服务器，执行命令看下：

xxxxxxx.jpg


root权限：

xxxxxxx.jpg


内核信息：

ooooooo.jpg


可用ls找web目录，然后wget命令下载一句话或webshell，就Getshell了。不搞了，都Root了，希望尽快修复~~~~~~~~~~~~~~~

漏洞证明：

xxxxxxx.jpg

修复方案：

关闭开发者模式。

版权声明：转载请注明来源 ki11y0u@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝