您现在正在浏览：站长之家 >> 设计编程 >> 详细内容

JSP漏洞大观

时间:2007-10-22 来源:不详作者:林子

　　 受影响的系统：Allaire JRun 2.3.x

　　解决方案：下载并安装补丁：

Allaire patch jr233p_ASB00_28_29 
http://download.allaire.com/jrun/jr233p_ASB00_28_29.zip 
Windows 95/98/NT/2000 and Windows NT Alpha 
Allaire patch jr233p_ASB00_28_29tar 
http://download.allaire.com/jrun/jr233p_ASB00_28_29.tar.gz 
UNIX/Linux patch - GNU gzip/tar

　　 JRun 2.3.x 范例文件暴露站点安全信息

　　JRun 2.3.x 在 JRUN_HOME/servlets 目录下有一些 servlet 范例文件，这个目录是 JRun 2.3.x 用于加载和执行 servlets 文件。所有扩展名为 ".Java" 或 "class" 的文件必须被删除，这是因为这些文件会暴露站点的安全信息。例如：
http://www.xxx.xxx/servlet/SessionServlet 会暴露当前服务器保持的HTTP连接信息。JRUN_HOME/jsm-default/services/jws/htdocs 目录下的内容也应被删除掉。这个目录保存有演示服务器功能的 '.jsp' 文件，其中一些文件牵涉到访问服务器文件系统和暴露服务器设置的问题。例如对文件 "viewsource.jsp" 的路径检查是默认关闭的，它可被用于访问服务器文件系统。
织梦内容管理系统
　　 解决方案：

　　1）安装 2.3.3 service pack
　　2）从服务器上删除所有的说明文档、演示编码、范例和教材，包括安装 JRun 　　2.3.x 时存放于 JRUN_HOME/servlets 目录和JRUN_HOME/jsm-default/services/jws/htdocs 目录里的文档。
　　相关站点：http://www.allaire.com/

　　 IBM WebSphere Application Server有哪些漏洞？

　　1、IBM WebSphere Application Server 3.0.2 存在暴露源代码漏洞
IBM WebSphere Application Server 允许攻击者查看 Web server 根目录以上的所有文件。IBM WebSphere 使用 Java Servlets 处理多种页面类型的分析(如 HTML, JSP, JHTML, 等等)。In addition 不同的 servlets 对不同的页面进行处理，如果一个请求的文件是未进行注册管理的，WebSphere 会使用一个默认的 servlet 作调用。如果文件路径以"/servlet/file/"作开头这个默认的 servlet 会被调用这个请求的文件会未被分析或编译就显示出来。

　　 受影响系统：IBM WebSphere 3.0.2 的所有版本

　　举例：

　　如果一个请求文件的 URL 为 "login.jsp":：　　http://site.running.websphere/login.jsp那么访问　　http://site.running.websphere/servlet/file/login.jsp将看到这个文件的源代码。