近几天流传一个工商银行的趣味后门:

或者

http://www.icbc.com.cn/news/hotspot.jsp?column=easyjf祝你新年快乐

 

这样就直接将输入的参数显示到了页面之上

如果在参数中加入了HTML代码,就可以进行钓鱼式攻击了,比如

http://www.icbc.com.cn/news/hotspot.jsp?column=<a href="http://www.easyjf.com" target="_blank">hello,easyjf</a>

 

然后进一步做了测试,我直接在

http://www.icbc.com.cn/news/hotspot.jsp?column=

后面输入了JSP代码,他们简单进行了过滤,无法执行,将<%和%>做了过滤,不过我想了个好办法,简单对JSP的执行方式代码做了变形处理,对JSP语句也做了处理(怎么样的处理方式要等这个漏洞修复后我会公布),然后成功运行了,不过再没做进一步的提权测试,希望工商银行采取措施,否则一个趣味后门变成一个真正的后门了.