惠生活APP命令执行(O2O平台)

漏洞概要

缺陷编号:WooYun-2015-0104861

漏洞标题:惠生活APP命令执行(O2O平台)

相关厂商:北京省惠科技股份有限公司

漏洞作者:小猫钓鱼

提交时间:2015-03-30 23:04

公开时间:2015-05-14 23:06

漏洞类型:命令执行

危害等级:高

自评Rank:12

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-03-30: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-05-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

惠生活APP命里执行(O2O平台)Strus2命令执行漏洞
官网:http://www.bjshkj.cn/
北京省惠科技股份有限公司成立于2012年,是全国著名支付机构——快钱的全国运营商,并作为某银行POS收单业务的独家合作单位。公司专门从事银行卡收单、新兴支付工具研发及销售、小微企业融资服务、电子商务研发及服务的综合型金融科技股份公司.

详细说明:

验证:

轻松GetShell:

数据库似乎开在公网了,为了避免不必要的麻烦未连接:

漏洞证明:

截图:

修复方案:

未做任何破坏,不信查日志

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价