zhang1206qiang 发表于 2015-7-8 00:33

万通驾校官网存在漏洞(付入侵证明)

本帖最后由 紫阳之星 于 2015-7-8 10:37 编辑

最近上班也是闲的蛋疼,一个哥们说想回去考驾照,说深圳太贵了,让我联系下,我擦,我哪有那人脉关系,就试着找找万通驾校的官网.............


问了下度娘,告诉我地址 3w.wtcar.net打开一看,果然是咋们赤壁的万通驾校中伙,我家就是中伙琅桥的呢....哈哈...


网站有点丑....而且用的PHP模版搞的,很反感,貌似赤壁好多好多网站都是用CMS搞的,强烈鄙视...,为啥就不能自己用java开发一个好点的{:232:}


然后就是在上班找项目,网上预约报名的,擦,突然发现...这小小网站居然漏洞这么多,然后哥试着入侵....


首先,注入代码...提交到万通后台...坐等客服MM来审批请求..........

...........

...........

不一会儿,就受到了哥的钓鱼信息,鱼上钩了(不能发URL,见图片)



这里说一句,php的安全性还是很低的...cookie太简单,而且本来php语言就破坏了三层架构模式...算了,反正哥不是搞php的,接着正题...


拿到cookie后,就可以直接登录到万通后台...虽然后台不曝光出来,但是哥找你这后台地址也太简单了...而且钓鱼成功的时候,哥也顺便抓取了后台地址,给哥提供方便..{:254:}


OK,后台地址到手,cookie到手,然后就直接打开网址,到后后台登录界面,随后尼玛cookie期盼...瞬间进入到万通后台,而且获取了最高权限...(详见图片)。

登录到后台,那整个网站就是我的了,爱干啥就干啥,本来想把新闻改掉,图片还掉的,想想还是算了,毕竟是咱地方网站,玩玩就可以了,没动半点数据,如果服务上有其他文件那估计就是我测试时候没有清理干净的,谅解...

我想说的是,除了我能发现这个漏洞,其他人肯定也能发现,只是暂时没发现,所以,万通的哥们,赶紧联系你们的技术人员改改吧...貌似是请武汉369啥科技公司开发的....哥在武汉上了4年班...OK,赶紧改吧....哥要睡觉了,如果需要







紫阳之星 发表于 2015-7-8 13:57

比较PHP和JSP这两个Web开发技术,在目前的情况是其实是比较PHP和Java的Web开发。以下是我就几个主要方面进行的比较:  一、 语言比较  PHP是解释执行的服务器脚本语言,首先php有简单容易上手的特点。语法和c语言比较象,所以学过c语言的程序员可以很快的熟悉php的开发。而java需要先学好java的语法和熟悉一些核心的类库,懂得面向对象的程序设计方法。所以java不如php好学。  Java首先要编译成字节码.class文件,然后在java虚拟机上解释执行。Java的Web开发首先最容易想到的就是JSP(现在已经到JSP2.0),原来的java的Web开发都是用servlet来实现的,用servlet来开发需要程序员在java的源文件中嵌入大量的html代码。所以后来就出现了JSP,JSP可以方便的嵌入到html文件当中,其实jsp文件在服务器上执行的时候首先会被应用服务器转换成servlet,然后再编译执行。Jsp可以通过servlet和JavaBean的支持产生强大的功能。JavaBean 是一种可复用的、跨平台的软件组件。使用javabean可以方便的实现java代码和html的分离,能够增强系统的功能和软件的复用性。  Java的Web开发属于SUN公司定义的J2EE其中的规范。而且在J2EE中包括了java的Web开发的所有方面,如:JSP、Servlet、JDBC、JNDI、JAVABEAN、EJB等等。J2EE就特别适合于做大型的企业级的应用。  二、 数据库访问比较  Java通过JDBC来访问数据库,通过不同的数据库厂商提供的数据库驱动方便地访问数据库。访问数据库的接口比较统一。  PHP对于不同的数据库采用不同的数据库访问接口,所以数据库访问代码的通用性不强。例如:用Java开发的Web应用从MySQL数据库转到Oracle数据库只需要做很少的修改。而PHP则需要做大量的修改工作。  三、 系统设计架构比较  采用Java的Web开发技术,需要使用的是面向对象的系统设计方法,而PHP还是采用面向过程的开发方法。所以用Java进行开发前期需要做大量的系统分析和设计的工作。  四、 跨平台性  Java和PHP都有很好的跨平台的特性。几乎都可以在不作任何修改的情况下运行在Linux或者Windows等不同的操作系统上。  五、 开发成本比较  PHP最经典的组合就是:PHP + MySQL + Apache。非常适合开发中小型的Web应用,开发的速度比较快。而且所有的软件都是开源免费的,可以减少投入。  Java的Web应用服务器有免费Tomcat、JBoss等,如果需要更好的商业化的服务有:Web Sphere和 Web logic。  六、 分布式多层架构比较  PHP只能实现简单的分布式两层或三层的架构,而JAVA在这方面就比较强大,可以实现多层的网络架构。数据库层(持久化层)、应用(业务)逻辑层、表示逻辑层彼此分开,而且现在不同的层都已经有一些成熟的开发框架的支持。例如Struts就是利用java的Web开发技术实现了MVC的设计模式,而在业务逻辑层也有Spring框架,数据库持久化层有Hibernate等框架。这些框架可以方便开发者高效、合理、科学得架构多层的商业应用。  下面简要的说一下Struts,它实质上是在JSP Model2的基础上实现的一个MVC(Model、View、Controler)框架。JSP Model2体系结构是一种联合使用JSP 与Servlet 来提供动态内容的方法。在Struts框架中,模型由实现业务逻辑的JavaBean或EJB组件构成,控制器由Servlet实现的,视图由一组JSP文件组成。采用Struts可以明确角色的定义和开发者与网页设计者的分工。而且项目越复杂,其优势越明显。  七、 源代码安全  PHP开发的程序的源代码都是公开的,他人拿到php开发的程序后都可以进行修改。  Java开发的程序,最后用户拿到的是只是一些编译好的class类,无法看到完整的源代码,安全性高。  八、性能比较  有人做过试验,对这两种种语言分别做回圈性能测试及存取Oracle数据库测试。  在循环性能测试中,JSP只用了令人吃惊的四秒钟就结束了20000*20000的回圈。而PHP测试的是2000*2000循环(少一个数量级),却分别用了63秒。  数据库测试中,二者分别对 Oracle 8 进行 1000 次 Insert,Update,Select和Delete: JSP 需要 13 秒,PHP 需要 69 秒。http://image20.it168.com/201206_500x375/1076/2937250866f7282c.jpg  综上所述,我个人认为,PHP适合于快速开发,中小型应用系统,开发成本低,能够对变动的需求作出快速的反应。而Java适合于开发大型的应用系统,应用的前景比较广阔,系统易维护、可复用性较好。还有,同样功能的系统用Java开发的系统要比PHP开发的系统的价格要高。

zhang1206qiang 发表于 2015-7-8 00:35

我的图片呢?

彩虹变了色 发表于 2015-7-8 09:11

哥们,能把字码完吗

紫阳之星 发表于 2015-7-8 09:21

你这家伙,要我怎么说你啊

浩霖1014 发表于 2015-7-8 09:34

首先,先说结论:楼主技术一般,就是在装B而已。

1,题主说"为啥就不能自己用java开发一个好点的",题主究竟懂不懂开发,什么是成本与效率,java和php两种后台语言各有优劣,主要是什么场景下使用何种技术罢了,题主作为一个在武汉上了四年班的人竟然这都不懂{:233:}。

2,题主说“php的安全性还是很低的...cookie太简单”,我快晕倒了,php和cookie有什么关系?这种外行的话你也能说?能不能先提前打下草稿,了解下基本常识。{:252:}

最后结论:题主不知道哪搞来的网站攻击钓鱼的代码或软件,恰好进入了网通网站,然后就来炫自己java技术,想以此来得到关注或其他等等。你披露漏洞能贴点代码或者注明方案么?看看人家乌云是什么做的{:255:}

副ゞ苯 发表于 2015-7-8 09:40

{:246:}{:246:}{:246:}

嫲滴伢 发表于 2015-7-8 10:10

路过,围观!!!{:252:}

zhang1206qiang 发表于 2015-7-8 10:12

本帖最后由 zhang1206qiang 于 2015-7-8 10:47 编辑

刚刚睡醒,看到评论有点无奈了,回复一下几点,1.不是哥在炫耀技术,只是发现有漏洞,无法联系到万通的哥们,不是说技术咋滴,也就菜鸟一枚,但是发现漏洞,不可能袖手傍观。
2:昨天插入图片始终不成功,可以付上入侵流程详细,可以看下我是否在装逼!
3:就java和php而言,本人上文描述的可能有问题,不是说万通不应该用php开发,小网站出于成本考虑php是最佳方案,但本人认为,像赤壁网,赤壁热线这种比较有代表性的网站,一个discuz是否太单纯?
cookie这方面的,可以去研究下java中session的实现方式于php中的作用域对比下,本人还会继续关注此贴,之前是想把这漏洞曝光的乌云网上去赚点金币,想想还是算了,毕竟咋也是土生土长的赤壁人。

紫阳之星 发表于 2015-7-8 10:28

wh5255932 发表于 2015-7-8 09:34
首先,先说结论:楼主技术一般,就是在装B而已。

1,题主说"为啥就不能自己用java开发一个好点的",题主究 ...

莫非你是Helen?

zhang1206qiang 发表于 2015-7-8 11:35

wh5255932 发表于 2015-7-8 09:34
首先,先说结论:楼主技术一般,就是在装B而已。

1,题主说"为啥就不能自己用java开发一个好点的",题主究 ...

哥不纰漏出来,是怕别人也进去了,破坏万通数据,乌云网我也提交过漏洞,但是之前厂家在确认前,乌云也只是显示出标识,比纰漏细节吧?只有等时间到或者厂商解决的时候,才纰漏细节..动?
页: [1] 2
查看完整版本: 万通驾校官网存在漏洞(付入侵证明)