赤壁论坛

 找回密码
 立即注册
查看: 4579|回复: 16
打印 上一主题 下一主题
收起左侧

万通驾校官网存在漏洞(付入侵证明)

[复制链接]
跳转到指定楼层
楼主
发表于 2015-7-8 00:33 | 只看该作者 |只看大图 回帖奖励 |倒序浏览 |阅读模式
本帖最后由 紫阳之星 于 2015-7-8 10:37 编辑

最近上班也是闲的蛋疼,一个哥们说想回去考驾照,说深圳太贵了,让我联系下,我擦,我哪有那人脉关系,就试着找找万通驾校的官网.............


问了下度娘,告诉我地址 3w.wtcar.net  打开一看,果然是咋们赤壁的万通驾校中伙,我家就是中伙琅桥的呢....哈哈...


网站有点丑....而且用的PHP模版搞的,很反感,貌似赤壁好多好多网站都是用CMS搞的,强烈鄙视...,为啥就不能自己用java开发一个好点的


然后就是在上班找项目,网上预约报名的,擦,突然发现...这小小网站居然漏洞这么多,然后哥试着入侵....


首先,注入代码...提交到万通后台...坐等客服MM来审批请求..........

...........

...........

不一会儿,就受到了哥的钓鱼信息,鱼上钩了(不能发URL,见图片)



这里说一句,php的安全性还是很低的...cookie太简单,而且本来php语言就破坏了三层架构模式...算了,反正哥不是搞php的,接着正题...


拿到cookie后,就可以直接登录到万通后台...虽然后台不曝光出来,但是哥找你这后台地址也太简单了...而且钓鱼成功的时候,哥也顺便抓取了后台地址,给哥提供方便..


OK,后台地址到手,cookie到手,然后就直接打开网址,到后后台登录界面,随后尼玛cookie期盼...瞬间进入到万通后台,而且获取了最高权限...(详见图片)。

登录到后台,那整个网站就是我的了,爱干啥就干啥,本来想把新闻改掉,图片还掉的,想想还是算了,毕竟是咱地方网站,玩玩就可以了,没动半点数据,如果服务上有其他文件那估计就是我测试时候没有清理干净的,谅解...

我想说的是,除了我能发现这个漏洞,其他人肯定也能发现,只是暂时没发现,所以,万通的哥们,赶紧联系你们的技术人员改改吧...貌似是请武汉369啥科技公司开发的....哥在武汉上了4年班...OK,赶紧改吧....哥要睡觉了,如果需要







赤壁热线微信公众号
来自 12楼
发表于 2015-7-8 13:57 | 只看该作者
比较PHP和JSP这两个Web开发技术,在目前的情况是其实是比较PHP和Java的Web开发。以下是我就几个主要方面进行的比较:
  一、 语言比较
  PHP是解释执行的服务器脚本语言,首先php有简单容易上手的特点。语法和c语言比较象,所以学过c语言的程序员可以很快的熟悉php的开发。而java需要先学好java的语法和熟悉一些核心的类库,懂得面向对象的程序设计方法。所以java不如php好学。
  Java首先要编译成字节码.class文件,然后在java虚拟机上解释执行。Java的Web开发首先最容易想到的就是JSP(现在已经到JSP2.0),原来的java的Web开发都是用servlet来实现的,用servlet来开发需要程序员在java的源文件中嵌入大量的html代码。所以后来就出现了JSP,JSP可以方便的嵌入到html文件当中,其实jsp文件在服务器上执行的时候首先会被应用服务器转换成servlet,然后再编译执行。Jsp可以通过servlet和JavaBean的支持产生强大的功能。JavaBean 是一种可复用的、跨平台的软件组件。使用javabean可以方便的实现java代码和html的分离,能够增强系统的功能和软件的复用性。
  Java的Web开发属于SUN公司定义的J2EE其中的规范。而且在J2EE中包括了java的Web开发的所有方面,如:JSP、Servlet、JDBC、JNDI、JAVABEAN、EJB等等。J2EE就特别适合于做大型的企业级的应用。
  二、 数据库访问比较
  Java通过JDBC来访问数据库,通过不同的数据库厂商提供的数据库驱动方便地访问数据库。访问数据库的接口比较统一。
  PHP对于不同的数据库采用不同的数据库访问接口,所以数据库访问代码的通用性不强。例如:用Java开发的Web应用从MySQL数据库转到Oracle数据库只需要做很少的修改。而PHP则需要做大量的修改工作。
  三、 系统设计架构比较
  采用Java的Web开发技术,需要使用的是面向对象的系统设计方法,而PHP还是采用面向过程的开发方法。所以用Java进行开发前期需要做大量的系统分析和设计的工作。
  四、 跨平台性
  Java和PHP都有很好的跨平台的特性。几乎都可以在不作任何修改的情况下运行在Linux或者Windows等不同的操作系统上。
  五、 开发成本比较
  PHP最经典的组合就是:PHP + MySQL + Apache。非常适合开发中小型的Web应用,开发的速度比较快。而且所有的软件都是开源免费的,可以减少投入。
  Java的Web应用服务器有免费Tomcat、JBoss等,如果需要更好的商业化的服务有:Web Sphere和 Web logic。
  六、 分布式多层架构比较
  PHP只能实现简单的分布式两层或三层的架构,而JAVA在这方面就比较强大,可以实现多层的网络架构。数据库层(持久化层)、应用(业务)逻辑层、表示逻辑层彼此分开,而且现在不同的层都已经有一些成熟的开发框架的支持。例如Struts就是利用java的Web开发技术实现了MVC的设计模式,而在业务逻辑层也有Spring框架,数据库持久化层有Hibernate等框架。这些框架可以方便开发者高效、合理、科学得架构多层的商业应用。
  下面简要的说一下Struts,它实质上是在JSP Model2的基础上实现的一个MVC(Model、View、Controler)框架。JSP Model2体系结构是一种联合使用JSP 与Servlet 来提供动态内容的方法。在Struts框架中,模型由实现业务逻辑的JavaBean或EJB组件构成,控制器由Servlet实现的,视图由一组JSP文件组成。采用Struts可以明确角色的定义和开发者与网页设计者的分工。而且项目越复杂,其优势越明显。
  七、 源代码安全
  PHP开发的程序的源代码都是公开的,他人拿到php开发的程序后都可以进行修改。
  Java开发的程序,最后用户拿到的是只是一些编译好的class类,无法看到完整的源代码,安全性高。
  八、性能比较
  有人做过试验,对这两种种语言分别做回圈性能测试及存取Oracle数据库测试。
  在循环性能测试中,JSP只用了令人吃惊的四秒钟就结束了20000*20000的回圈。而PHP测试的是2000*2000循环(少一个数量级),却分别用了63秒。
  数据库测试中,二者分别对 Oracle 8 进行 1000 次 Insert,Update,Select和Delete: JSP 需要 13 秒,PHP 需要 69 秒。
  综上所述,我个人认为,PHP适合于快速开发,中小型应用系统,开发成本低,能够对变动的需求作出快速的反应。而Java适合于开发大型的应用系统,应用的前景比较广阔,系统易维护、可复用性较好。还有,同样功能的系统用Java开发的系统要比PHP开发的系统的价格要高。

回复 支持 反对

使用道具 举报

沙发
 楼主| 发表于 2015-7-8 00:35 | 只看该作者
我的图片呢?
回复 支持 反对

使用道具 举报

3
发表于 2015-7-8 09:11 | 只看该作者
哥们,能把字码完吗
回复 支持 反对

使用道具 举报

4
发表于 2015-7-8 09:21 | 只看该作者
你这家伙,要我怎么说你啊
回复 支持 反对

使用道具 举报

5
发表于 2015-7-8 09:34 | 只看该作者
首先,先说结论:楼主技术一般,就是在装B而已

1,题主说"为啥就不能自己用java开发一个好点的",题主究竟懂不懂开发,什么是成本与效率,java和php两种后台语言各有优劣,主要是什么场景下使用何种技术罢了,题主作为一个在武汉上了四年班的人竟然这都不懂

2,题主说“php的安全性还是很低的...cookie太简单”,我快晕倒了,php和cookie有什么关系?这种外行的话你也能说?能不能先提前打下草稿,了解下基本常识。

最后结论:题主不知道哪搞来的网站攻击钓鱼的代码或软件,恰好进入了网通网站,然后就来炫自己java技术,想以此来得到关注或其他等等。你披露漏洞能贴点代码或者注明方案么?看看人家乌云是什么做的
回复 支持 反对

使用道具 举报

6
发表于 2015-7-8 09:40 来自0715圈 | 只看该作者
回复 支持 反对

使用道具 举报

7
发表于 2015-7-8 10:10 来自0715圈 | 只看该作者
路过,围观!!!
回复 支持 反对

使用道具 举报

8
 楼主| 发表于 2015-7-8 10:12 来自0715圈 | 只看该作者
本帖最后由 zhang1206qiang 于 2015-7-8 10:47 编辑

刚刚睡醒,看到评论有点无奈了,回复一下几点,1.不是哥在炫耀技术,只是发现有漏洞,无法联系到万通的哥们,不是说技术咋滴,也就菜鸟一枚,但是发现漏洞,不可能袖手傍观。
2:昨天插入图片始终不成功,可以付上入侵流程详细,可以看下我是否在装逼!
3:就java和php而言,本人上文描述的可能有问题,不是说万通不应该用php开发,小网站出于成本考虑php是最佳方案,但本人认为,像赤壁网,赤壁热线这种比较有代表性的网站,一个discuz是否太单纯?
cookie这方面的,可以去研究下java中session的实现方式于php中的作用域对比下,本人还会继续关注此贴,之前是想把这漏洞曝光的乌云网上去赚点金币,想想还是算了,毕竟咋也是土生土长的赤壁人。
回复 支持 反对

使用道具 举报

9
发表于 2015-7-8 10:28 | 只看该作者
wh5255932 发表于 2015-7-8 09:34
首先,先说结论:楼主技术一般,就是在装B而已。

1,题主说"为啥就不能自己用java开发一个好点的",题主究 ...

莫非你是Helen?
回复 支持 反对

使用道具 举报

10
 楼主| 发表于 2015-7-8 11:35 | 只看该作者
wh5255932 发表于 2015-7-8 09:34
首先,先说结论:楼主技术一般,就是在装B而已。

1,题主说"为啥就不能自己用java开发一个好点的",题主究 ...

哥不纰漏出来,是怕别人也进去了,破坏万通数据,乌云网我也提交过漏洞,但是之前厂家在确认前,乌云也只是显示出标识,比纰漏细节吧?只有等时间到或者厂商解决的时候,才纰漏细节..动?
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|广告业务|版主守则|免责声明|无图版|手机版|小黑屋|删帖指引|赤壁热线 ( 鄂ICP备11015190号 )

GMT+8, 2024-11-5 12:32

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表