财政部某资产管理系统存在通用远程代码执行漏洞影响全国所有使用此系统的政府单位 | wooyun-2016-0175620

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2016-0175620

漏洞标题：

财政部某资产管理系统存在通用远程代码执行漏洞影响全国所有使用此系统的政府单位

漏洞详情

披露状态：

2016-02-14：细节已通知厂商并且等待厂商处理中
2016-02-17：厂商已经确认，细节仅向厂商公开
2016-02-20：细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-04-12：细节向核心白帽子及相关领域专家公开
2016-04-22：细节向普通白帽子公开
2016-05-02：细节向实习白帽子公开
2016-05-17：细节向公众公开

简要描述：

详细说明：

具体cms详细介绍请查阅此文
http://**.**.**.**/read/993653ea650ebe1eacc2c1b2.html
操作步骤： 1. 打开浏览器，在地址栏中输入 http://服务器 IP 地址:端口号/netrep/login.jsp 后, 回车或点击浏览器转到按钮打开系统登录页面。特别提示： ? 举例：假设所用服务器的 IP 地址为 **.**.**.**，端口号为 7001，那么浏览器的系统登录地址可写为 http://**.**.**.**:7001/netrep/login.jsp。 2. 填写“用户名”和“密码” ，点击登录按钮进入系统。
下面是找到的一些案例
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:8001/netrep/login.jsp
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:7001/netrep/login.jsp
**.**.**.**:7004/netrep/login.jsp
如下图：