修改index.jsp改了jsp调用后缀html为html，配置的<url-pattern>是/*，过滤器却不管用了

来源：蜘蛛抓取(WebSpider) 时间：2018-08-29 19:46 标签： jsp调用后缀html

今天我所要讨论的问题是通过提茭特殊的URL直接攻击.jsp页面,达到该页面无法正常显示的效果!当然要让它显示出:hacked by xxx不是我讨论的范围!

一、jsp的生命流程：

　　因为了解了.jsp的生命流程の后,我觉得它存在某些设计上的缺陷!

下边先来简单的解释一下.jsp文件的生命流程吧!

.jsp文件有它特殊的书写规范:

公告名称:Outlook拒绝服务攻击

安盟建议：读此种邮件造成outlook没有响应后首先关闭outlook，然后从新开启并再那封邮件上点鼠标右键，选择“移动到文件夹”并将它移动到“已删除邮件”中然后点工具——选项——维护——退出是清空“已删除邮件”文件夹中的邮件。确定后并退出outlook再次启动将恢复正常！

此安全公告旨在将软件中存在的问题公布出来，任何人不得使用公告中所涉及的方法危害网络的安全

　　CNSL发现,通过提交一个特殊构造的URL将导致“JSP”对应的“.JAVA”源代码泄露。

　　通过对一系列网站的分析及自己在win2000上安装测试后发现,“JServ”处理“JSP”请求的方式可通过特殊的URL请求搅乱，乃至于暴露“.JAVA”源文件供攻击者下载

　　当攻击者第一次提交一个特殊的符合HTTP规则并且真实存在此“jsp”文件的请求时,JServ将试图将此“jsp”文件转换为“.JAVA”文件并编译，再转换的过程中不会出现错误但编译时将会出错,系统将抛出例外并给出错误信息。由此信息攻击者可以通过web矗接访问此未编译成功的“.java”文件

系统将抛出例外及给出Globals.java的具体位置。

注：此方法并无法获得index.jsp的源文件,因厂商还未提供相应补丁所以咹盟不予公布获得源文件的具体方法。

　　CNSL正积极的联系厂商相信不久会有相应的补丁出来，敬请关注

　　此安全公告旨在将软件中存在的问题公布出来，任何人不得使用公告中所涉及的方法危害网络的安全


我要回帖

更多关于 jsp调用后缀html 的文章

 

随机推荐