漏洞概要 关注数(10) 关注此漏洞
缺陷编号： WooYun-2016-196005
漏洞标题： 穿森马就测森马（从java反序列化到内网）
相关厂商： 森马集团
漏洞作者： 水系cmos
提交时间： 2016-04-13 21:53
公开时间： 2016-05-28 22:00
漏洞类型： 成功的入侵事件
危害等级： 高
自评Rank： 17
漏洞状态： 已交由第三方合作机构处理
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： 内网渗透 JAVA反序列化
漏洞详情
披露状态：
2016-04-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-28： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
穿森马套装的骚年和森马的一次亲密接触
详细说明：
**.**.**.**:8081/
当我看到这个URL时，穿着森马套装的我立刻察觉到这个URL有问题！
我平复一下心情，整理了一下衣衫，把他放进了工具：
是他！是他是他！就是他！JAVA反序列化！
在这个moment，一位森马骚年准备要和森马来一次XXXX了。
·
·
哎哟呵，系统权限，找目录目录，找啊找，上传shell。
相信我，买手评论这个我也不知道是什么东西··，森马衣服确实便宜，经常有活动，一有活动我就让我妈给钱去买··
·
·
不知道是不是今天穿森马的缘故，幸运值比较高。又或服务器对穿森马的来者不拒呢··
成功添加账户！
·
·
端口转发，我要日进去了！
·
·
此时此刻，我内心久久不能平静
这就是森马的内内内内网！
·
·
感觉身上的森马套装更耀眼夺目了呢··
漏洞证明：
加盟商and直营：16万多家··
·
·
好多数据就不一一翻了
（不知道送不送衣服呢·· _(:з」∠)_ _(:з」∠)_ _(:з」✿)_
修复方案：
中间件升级，服务器打补丁，装WAF
版权声明：转载请注明来源 水系cmos@乌云
漏洞回应
厂商回应：
危害等级：暂时无回应
漏洞Rank：15
确认时间：2016-04-13 21:53
厂商回复：
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
登陆后才能进行评分
评论