JSP漏洞大观(三)
2024-09-05 00:19:11
供稿：网友
allaire jrun 2.3远程执行任意命令漏洞
allaire 的 jrun 服务器 2.3上存在一个安全漏洞，允许远程用户把在 web 服务器上的任意文件作为jsp代码编译/执行。 如果url请求的目标文件使用了前缀"/servlet/"，则jsp解释执行功能被激活。这时在用户请求的目标文件路径中使用"../"，就有可能访问到 web 服务器上根目录以外的文件。在目标主机上利用该漏洞请求用户输入产生的一个文件，将严重威胁到目标主机系统的安全。
例如：
http://jrun:8000/servlet/com.livesoftware.jrun.plugins.jsp.jsp/../../path/to /temp.txt
http://jrun:8000/servlet/jsp/../../path/to/temp.txt
受影响的系统：allaire jrun 2.3.x
解决方案：下载并安装补丁：
allaire patch jr233p_asb00_28_29
http://download.allaire.com/jrun/jr233p_asb00_28_29.zip
windows 95/98/nt/2000 and windows nt alpha
allaire patch jr233p_asb00_28_29tar
http://download.allaire.com/jrun/jr233p_asb00_28_29.tar.gz
unix/linux patch - gnu gzip/tar
jrun 2.3.x 范例文件暴露站点安全信息
jrun 2.3.x 在 jrun_home/servlets 目录下有一些 servlet 范例文件，这个目录是 jrun 2.3.x 用于加载和执行 servlets 文件。所有扩展名为 ".java" 或 "class" 的文件必须被删除，这是因为这些文件会暴露站点的安全信息。例如：
http://www.xxx.xxx/servlet/sessionservlet 会暴露当前服务器保持的http连接信息。jrun_home/jsm-default/services/jws/htdocs 目录下的内容也应被删除掉。这个目录保存有演示服务器功能的 ´.jsp´ 文件，其中一些文件牵涉到访问服务器文件系统和暴露服务器设置的问题。例如对文件 "viewsource.jsp" 的路径检查是默认关闭的，它可被用于访问服务器文件系统。
解决方案：
1）安装 2.3.3 service pack
2）从服务器上删除所有的说明文档、演示编码、范例和教材，包括安装 jrun 2.3.x 时存放于 jrun_home/servlets 目录和jrun_home/jsm-default/services/jws/htdocs 目录里的文档。
相关站点：http://www.allaire.com/
ibm websphere application server有哪些漏洞？
1、ibm websphere application server 3.0.2 存在暴露源代码漏洞
ibm websphere application server 允许攻击者查看 web server 根目录以上的所有文件。ibm websphere 使用 java servlets 处理多种页面类型的分析(如 html, jsp, jhtml, 等等)。in addition 不同的 servlets 对不同的页面进行处理，如果一个请求的文件是未进行注册管理的，websphere 会使用一个默认的 servlet 作调用。如果文件路径以"/servlet/file/"作开头这个默认的 servlet 会被调用这个请求的文件会未被分析或编译就显示出来。
受影响系统：ibm websphere 3.0.2 的所有版本
举例：
如果一个请求文件的 url 为 "login.jsp":： http://site.running.websphere/login.jsp那么访问 http://site.running.websphere/servlet/file/login.jsp将看到这个文件的源代码。
解决方案：下载并安装补丁
http://www-4.ibm.com/software/webservers/appserv/efix.html
相关站点：http://www-4.ibm.com/software/webservers/appserv/
ibm websphere application server 暴露jsp文件内容
java server pages (jsp)类型的文件是以´.jsp´扩展名在websphere application serve 上注册，websphere 是文件名大小写敏感的，´.jsp´和´.jsp´是不同类型的文件扩展名。如果提交有´.jsp´的链接给websphere,而websphere找不到´.jsp´就会以默认的´.text´文件类型来响应请求。因为在nt系统中大小写文件名是非敏感的，所以被请求的文件会以文本的形式送出。
如果在unix服务器上会出现"file not found"的错误信息。
解决方案：点击此处下载补丁
相关站点：http://www-4.ibm.com/software/webservers/appserv/efix.html
bea weblogic有哪些暴露源代码漏洞？
受影响版本：
所有系统上的
bea weblogic enterprise 5.1.x
bea weblogic server and express 5.1.x
bea weblogic server and express 4.5.x
bea weblogic server and express 4.0.x
bea weblogic server and express 3.1.8
这个漏洞使攻击者能读取 web 目录下所有文件的源代码。
weblogic 依赖四个主要 java servlets to 服务不同类型的文件。这些 servlets 是：
1）fileservlet - for 简单 html 页面
2）ssiservlet - for server side includes 页面
3）pagecompileservlet - for jhtml 页面
4）jspservlet - for java server 页面
看着weblogic.properties 文件, 这儿是各个 servlets 的注册值：
1）weblogic.httpd.register.file=weblogic.servlet.fileservlet
2）weblogic.httpd.register.*.shtml=weblogic.servlet.serversideincludeservlet
3）weblogic.httpd.register.*.jhtml=weblogic.servlet.jhtmlc.pagecompileservlet
4）weblogic.httpd.register.*.jsp=weblogic.servlet.jspservlet
更多的 weblogic.properties 文件, 如果一个请求文件是没有注册管理的，那么就会调用一个默认的 servlet 。以下是展示默认的 servlet 是如何注册的。
# default servlet registration
# ------------------------------------------------
# virtual name of the default servlet if no matching servlet
# is found weblogic.httpd.defaultservlet=file
因此如果 url 中的文件路径开头为 "/file/" , 将会引致 weblogic 调用默认的 servlet, 那将会使网页未加分析和编译而直接显示。
论证：
只要在想看的文件原来的 url 路径之前加入 "/file/" 就会让文件未经分析和编译，直接暴露源代码。如：http://site.running.weblogic/login.jsp ，那么只要访问 http://site.running.weblogic/file/login.jsp 就会在 web 浏览器里看到文件的内容。
以下是使用方法:
1. 通过强制使用 ssiservlet 查看未分析的页面 :
服务器站点通过 weblogic 中的 ssiservlet 处理页面，它在weblogic.properties 文件中注册以下信息：weblogic.httpd.register.*.shtml= weblogic.servlet.serversideincludeservlet
通过 url 使用 ssiservlet 自动处理通配符 （*） 。因此 如果文件路径开头为 /*.shtml/，将强制文件由 ssiservlet 处理。如果使用其它文件类型如 .jsp 和 .jhtml, 就能查看未分析的 jsp 和 jhtml 代码。举例：http://www.xxx.com/*.shtml/login.jsp
2. 通过强制使用 fileservlet 查看未分析的页面 :
weblogic 使用 fileservlet 配置 consolehelp servlet ，在weblogic.properties 文件的以下内容可得知:
# for console help. do not modify.
weblogic.httpd.register.consolehelp= weblogic.servlet.fileservlet
weblogic.httpd.initargs.consolehelp=defaultfilename=/weblogic/admin/help/nocontent.html
weblogic.allow.execute.weblogic.servlet.consolehelp=everyone
因此如果文件路径以 /consolehelp/ 开头将导致 weblogic 使用 fileservlet，使未分析或编译的文件作页面显示出来，举例：http://www.xxx.com/consolehelp/login.jsp
解决方案：
不要使用示例中的设置方法设置 fileservlet 。这可能会让你的 jsp/jhtml 文件的源代码暴露出来。请查看在线文档:
http://www.weblogic.com/docs51/admindocs/http.html#file
示例的 registrations 如下：
weblogic.httpd.register.file=weblogic.servlet.fileservlet
weblogic.httpd.initargs.file=defaultfilename=index.html
weblogic.httpd.defaultservlet=file
有两种方法可以避免这个问题：
（1）注册那些文件 servlet 使用随机用户名，加大猜测难度。例如使用象这样注册文件 servlet 为 12foo34：
weblogic.httpd.register.12foo34=weblogic.servlet.fileservlet
weblogic.httpd.initargs.12foo34=defaultfilename=index.html
weblogic.httpd.defaultservlet=12foo34
（2）注册文件 servlet 使用 wild cards 声明你将使用所有这些文件扩展名作服务。举例注册文件 servlet 为 .html 文件服务：
weblogic.httpd.register.*.html=weblogic.servlet.fileservlet
weblogic.httpd.initargs.*.html=defaultfilename=index.html
weblogic.httpd.defaultservlet=*.html
使用上面的方法重复加入以下类型的文件 *.gif, *.jpg, *.pdf, *.txt, etc.
注意：这些信息是备有证明在 bea weblogic server and express 说明档的：http://www.weblogic.com/docs51/admindocs/lockdown.html
另：请留意新版本并升级吧。
(完)
