 |
|
|
 首页 |
名片设计 CorelDRAW Illustrator AuotoCAD Painter 其他软件 Photoshop Fireworks Flash |
|
涉及程序： ServletExec 描述： 在HTTP哀求中添加特别字符导致暴露JSP源代码文件 具体： Unify eWave ServletExec 是一个 Java/Java Servlet 引擎插件，主要用于 WEB 服务器，例如：Microsoft IIS, Apache, Netscape Enterprise 服务器等等。 当一个 HTTP 哀求中添加下列字符之一，ServletExec 将返回 JSP 源代码文件。 . %2E + %2B %5C %20 %00 成功的利用该漏洞将导致泄露指定的JSP文件的源代码 例如： 使用下面的任意一个URL哀求将输出指定的JSP文件的源代码： http://target/directory/jsp/file.jsp. http://target/directory/jsp/file.jsp%2E http://target/directory/jsp/file.jsp+ http://target/directory/jsp/file.jsp%2B http://target/directory/jsp/file.jsp http://target/directory/jsp/file.jsp%5C http://target/directory/jsp/file.jsp%20 http://target/directory/jsp/file.jsp%00 受影响的系统： Unify eWave ServletExec 3.0c - Sun Solaris 8.0 - Microsoft Windows 98 - Microsoft Windows NT 4.0 - Microsoft Windows NT 2000 - Linux kernel 2.3.x - IBM AIX 4.3.2 - HP HP-UX 11.4 Unify eWave ServletExec 3.0 - Sun Solaris 8.0 - Microsoft Windows 98 - Microsoft Windows NT 4.0 - Microsoft Windows NT 2000 - Linux kernel 2.3.x - IBM AIX 4.3.2 - HP HP-UX 11.4 解决方案： 临时解决办法： 假如没有使用任何静态页面或图像，可以配置一个默认的 servlet，并将“/”映射到这个默认的 servlet。这样当收到一个未映射到某个 servlet 的 URL 时，这个默认的servlet 就会被调用。在这种情况下，默认的 servlet 可以仅仅返回“未找到文件”。假如使用了静态的页面或图像，仍旧可以作这样的配置，但是需要让这个默认的servlet 处理对合法的静态页面和图像的哀求。 另一种可能就是将*.jsp+、*.jsp.和*.jsp等映射到一个 servlet，而该servlet只是返回“未找到文件”。对于*.jsp%00和*.jsp%20这样的情况，映射应以未经编码的形式输入。例如，对于*.jsp%20的映射应输入“*.jsp ”。注重%20被转变成一个空格字符。 返回类别: 教程 上一教程: 一个开发人员眼中的JSP技术 下一教程: 教您配置Web应用环境实现JSP留言簿开发 您可以阅读与"Unify eWave ServletExec 泄露jsp源代码漏洞 "相关的教程: · Unify的eWave ServletExec拒绝服务漏洞 · IBM WebSphere源代码暴露漏洞 · BEA WebLogic 暴露源代码漏洞 · IBM WebSphere Application Server 3.0.2 存在暴露源代码漏洞 · 多中WEB服务器的通用JSp源代码暴露漏洞 |
  |
| 快精灵印艺坊 版权所有 |
首页 会员中心在线印刷在线编辑付款方式索取样品设计指南连锁门店
|
||
