繁體中文当前位置: 首页 > 图文教程 > 网络编程 > JSP > JSP多种web应用服务器导致JSP源码泄漏漏洞
- JSP
- 搭建Eclipse+MyEclipse开发环境
- 卖jsp编程技巧的那个垃圾的所有实例的答案全部已收集，现将他人收集的实例答案公布出来，大家鉴赏！
- 一个jsp+AJAX评论系统
- JSP 多个文件打包下载代码
- JSP 动态树的实现
- jsp 重复提交问题
- J2ME/J2EE实现用户登录交互 实现代码
- 访问JSP文件或者Servlet文件时提示下载的解决方法
- JSP EL表达式详细介绍
- JSP 报表打印的一种简单解决方案
- jsp 自定义标签实例
- AJAX自学练习 无刷新从数据库后台取数据显示
- AJAX 自学练习 请求与显示
- AJAX 自学练习 无刷新提交并修改数据库数据并显示
- jsp 文件上传浏览，支持ie6，ie7，ie8
- JSP application（return String）用法详例
- jsp form表单方法示例
- JSP request（return String）用法详例
- JSP forward用法分析实例代码分析
- JSP JavaBean的setProperty属性
JSP多种web应用服务器导致JSP源码泄漏漏洞
出处:互联网 整理: 软晨网（RuanChen.com） 发布: 2009-09-13 浏览: 80 ::
收藏到网摘: n/a
JSP多种web应用服务器导致JSP源码泄漏漏洞
作者：中联绿盟 汉化：不详 整理：JSPER
受影响的系统:
BEA Systems Weblogic 4.5.1
- Microsoft Windows NT 4.0
BEA Systems Weblogic 4.0.4
- Microsoft Windows NT 4.0
BEA Systems Weblogic 3.1.8
- Microsoft Windows NT 4.0
IBM Websphere Application Server 3.0.21
- Sun Solaris 8.0
- Microsoft Windows NT 4.0
- Linux kernel 2.3.x
- IBM AIX 4.3
Unify eWave ServletExec 3.0
- Sun Solaris 8.0
- Microsoft Windows 98
- Microsoft Windows NT 4.0
- Microsoft Windows NT 2000
- Linux kernel 2.3.x
- IBM AIX 4.3.2
- HP HP-UX 11.4
描述:
--------------------------------------------------------------------------------
很多webserver对大小写是敏感的，但对后缀的大小写映射并没有做正确的处理。只要在URL中将JSP或者JHTML文件后缀从小写变成大写，Web服务器就不能正确处理这个文件后缀，而将其做为纯文本显示，攻击者可能得到这些程序的源代码。
<* 来源： [email protected] *>
--------------------------------------------------------------------------------
建议:
Unify eWave ServletExec:
Unify说缺省安装的Servlet不会泄漏源代码
BEA Systems Weblogic:
临时解决办法：
对所有的可能的大小写后缀增加handler处理：
.jsp 文件:
.jsp .Jsp .jSp .jsP .JSp .jSP .JsP .JSP
.jhtml 文件：
.jhtml .Jhtml .jHtml .jhTml .jhtMl .jhtmL .JHtml .JhTml
.JhtMl .JhtmL .jHTml .jHtMl .jHtmL .jhTMl .jhTmL .jhtML
.JHTml .JHtMl .JHtmL .JhTMl .JhTmL .JhtML .jHTMl .jHTmL
.jHtML .jhTML .JHTMl .JHTmL .JhTML .jHTML .JHTML
厂商已经提供一个针对3.1.8版本的补丁，可以在下列地址下载：
ftp://ftpna.beasys.com/pub/releases/318/caseSensitiveNTFix318.zip
IBM WebSphere Application Server:
IBM已经提供了相应的补丁程序，地址在：
http://www-4.ibm.com/software/webservers/appserv/efix.html
更新日期：2000-07-12 摘自：绿色兵团
评论 (0) All
