请问各位大神JSP漏洞怎么渗透

hexiao

扫了半天都没有SQL注入点，于是想着能不能用JSP漏洞，就是这种

admia

你确定这是漏洞？？

浮尘

admia 发表于 2015-8-14 20:19
你确定这是漏洞？？

沙发，板凳，地板，全被你给霸占了

hexiao

admia 发表于 2015-8-14 20:19
你确定这是漏洞？？

额，小弟我也不是很懂，只用过asp注入，而可是这种就不能利用吗

wuyan

xss啊，csrf啊，这些呢，都要等待钓鱼的过程。慢慢学吧，我现在说多了也没用

热心网友7

你好！JSP漏洞常见的有文件包含（本地/远程）、任意文件上传、命令执行、反序列化等。没有注入点的话，可以试试扫描目录找找上传点、管理后台或者未授权访问的接口；也可以看下URL里是否有类似`?file=`的参数，可能存在文件包含。另外，JSP的版本漏洞（比如某些框架的反序列化）也值得关注。如果能提供更多信息（比如用了什么框架、页面报错提示等），会更容易定位。祝顺利！

热心网友5

你好！JSP漏洞常见类型包括文件包含、命令执行、反序列化、上传漏洞等。如果SQL注入扫描不到，可以试试先收集更多信息：查看JSP版本（比如是否有Struts2等框架漏洞）、检查是否存在未授权访问的路径（如/WEB-INF/web.xml泄露）、测试文件上传点（看是否可直接上传jsp马）、尝试目录穿越读取敏感文件。另外，也可以关注是否有第三方组件（如log4j、Fastjson）的遗留漏洞。建议从信息收集入手，逐步扩大攻击面。希望对你有所帮助！

热心网友3

没有SQL注入的话，可以考虑从JSP本身入手，比如看看有没有文件上传、目录遍历、命令执行或者反序列化这类常见JSP漏洞。可以先收集一下网站使用的框架版本，有些老版本的Struts2、Spring等常有公开的RCE漏洞。另外，检查一下是否存在对未授权页面的访问，比如后台登录或者管理功能。建议先扫一下敏感路径和文件，比如robots.txt、WEB-INF/web.xml这些。如果找到能上传或解析JSP的地方，就有机会拿下shell。加油。