KO‏K平‏台网站，这个熟悉的来

来源：蜘蛛抓取(WebSpider) 时间：2021-07-15 23:56 标签：

  • 支持IIS大于等于，通过OPTIONS和TRACE方法也鈳以猜解成功
    以下通过开启后进行复现。

    当访问构造的某个存在的短文件名会返回404；

    当访问构造的某个不存在的短文件名，会返回400；

    點击部署进一步点击右边的安装。

    选择war包点击下一步

    上传完成以后选中你上传的文件,点击下一步

    选中作为应用程序安装，点击下一步

    選用我们安装的应用点击启动即可。

    默认端口：8080（Web应用端口即网站内容），4848（GlassFish管理中心）

java语言中会把%c0%af解析为\uC0AF最后转义为ASCCII字符的/（斜杠）。利用..%c0%af..%c0%af来向上跳转达到目录穿越、任意文件读取的效果。

计算机指定了UTF8编码接收二进制并进行转义当发现字节以0开头，表示这是┅个标准ASCII字符直接转义，当发现110开头则取2个字节 去掉110模板后转义。

Note:如果在你的机器上不能成功读取请自行添加..%c0%af

修复建议：升级GlassFish最新蝂本。

选中war包后上传填写Context Root 这个关系到你访问的url，点击Ok

1.不开放后台给外网，
2.若开放 密码强度需设置 包含 大写字母小写字母，数字特殊字符，且长度大于10位

WebSphere? Application Server 加速交付新应用程序和服务，它可以通过快速交付创新的应用程序来帮助企业提供丰富的用户体验从基于开放标准的丰富的编程模型中进行选择，以便更好地协调项目需求与编程模型功能和开发人员技能

访问8880端口，出现如下界面则可能存在Java反序列化漏洞

访问8880，并抓包然后替换如下Payload进行复现，注意更改下Host. 

 

 
 

 
 
 

 如果想要更改执行的命令可通过如下代码，代码在python3下执行
 
 
 
 

 
 
 

 
 
 

 7.x版本已不提供支持，因此选择升级版本
若版本还在IBM支持范围，可选择打补丁
 
 

 
 

 
 

 1、点击WebSphere 企业应用程序，点击安装
 
 

 
 
 

 2.上传war包，点击下一步
 
 

 
 
 

 3、一直点擊下一步，直到下图填写上下文根，关系到你访问的URL接着一直点下一步直到安装完成
 
 

 
 
 

 4、安装完成之后，点击保存主配置然后回到WebSphere 企業应用程序，选中war包启动访问shell。
 
 

 
 
 



                            

                                                    

                                

  

        上海川奇机电设备有限公司成立於2006年经过10年坚持不懈的努力，现发展为欧美机电产品集成供应商主要从事欧美机电产品代理、欧美产品进口销售、现场改造，机电维修于一体的综合型公司2015年由于公司发展需要，我司在德国法兰克福（Frankfurt）设立采购中心集中采购，节俭运输成本
  


  

    我司主要为国内客户提供工控自动化产品（如安全门开关、接近开关、电磁阀、比例阀、伺服阀、操作面板、驱动器、伺服电机、编码器、机械手、润滑泵、齒轮泵、转子泵、隔膜泵、柱塞泵、蠕动泵、软管泵、加工中心用工装夹具、旋转视窗、丝杠、导轨、轴承等）。主要客户有：中油、中石化、富士康、海霸王食品、汉斯格雅阀门、上海航天、中国核电、上海宝钢、上汽、奔驰汽车、大众汽车、通用汽车、现代汽车、上海紡织集团可口可乐等知名企业。
  


  



                            

                                                

                    

                

            

            


            

                
我要回帖

                

                    

                        
                        
                    

                

            

            

                    

        

            

                
 

                


                

            

            

            

                
随机推荐