运动加加（注册服务器）官网Getshell(含数据库信息以及配置) – 网站安全 – 自学php网

#运智互动是中国智能电视游戏领域的先行者与开拓者。从2009年成立至今，我们的主要产品“运动加加”已经成为领域内最受欢迎，且安装量最高的体感游戏。
#运动加加（注册服务器）官网Getshell！

http://account.jiajia.tv:8080/register/webapp/siteEnter.action
官网存在Struts2命令执行安全漏洞，可以让黑客获取Webshell权限

0x01:
 

register/getpwd.html 注册页面
prjBackendService\login.jsp 后台管理
chaxun/login.html 查询页面

0x02:
 

一处数据库：
url =jdbc:sqlserver://58.211.17.34:1433;DatabaseName=qooqer
driver=com.microsoft.sqlserver.jdbc.SQLServerDriver
user=activ8
password=021021021

二处密码文件：
String Pwd="forfun";

三处异常：
webapp\其下部分目录出现异常，自己查看

越权访问：http://account.jiajia.tv:8080/register/

#另外服务器还有几匹“马”，管理员自行排查！

解决方案：

过滤！