金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。由于金蝶Apusic应用服务器权限验证不当，导致攻击者可以向接口执行JNDI注入，造成远程代码执行。
AAS-V9.0/lib/webtool.war
里面新增加的JNDI相关修复代码
可以看到对jndiName做了黑名单过滤处理
调用点有很多
datasource下面有
jms下面有 factory queue topic
jndicontroller下面也有好些接口有 比如公告出来的loadtree 等等等
原文始发于微信公众号（FXDSecurity）：金蝶Apusic应用服务器 JNDI注入漏洞浅析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论