SAPокалипсис. BlackHat. Взлом J2EE. Кошмар, кошмар

[serf]

Вообще Invoker Servlet довольно не новая фича, в том числе в плане безопасности.

Еще в Tomcat 6 эта штука указана как deprecated и выключена по умолчанию:

В Tomcat 7 такого класса (org.apache.catalina.servlets.InvokerServlet) вообще уже нет.

Что такое SAP Portal не знаю, не пользовался, вероятно какой-то старый Java сервер приложений (в то время как Tomcat всего лишь Java веб сервер, не сервер приложений), но активировать Invoker Servlet по умолчанию (паминг на /servlet/*) это бред, тк эта штука задумывалась для более удобной отладки и соответственно по умолчанию включена не должна быть.

Что касается мапинга <http-method>GET</http-method>, то разработчик сам так указал, это его решение и его ответственность, нужно знать свой инструмент.

[ivanra]

Хаха.
Получается, разработчики SAP в production забыли отключить отладку.
Например, в JBOSS или Tomcat Invoker Servlet по умолчанию отключен и в документации честно предупреждают: включайте только для отладки, ни в коем случае не используйте в production.

[Fragster]

«какой же облом» это о чем?

[leorik]

Рискну предположить, что автор таким образом как бы отвечает на ожидания читателя, старательно выискивающего слова из выделенных букв.

[Fragster]

Что-то типа

Зачем мне это ведро?
Зачем мне простой ведро?
Зачем мне и ведро?
Зачем мне прекрасный ведро?
Зачем мне способ ведро?
Зачем мне занять ведро?
Зачем мне чем-нибудь ведро?
Зачем мне идиота ведро?
Зачем мне на ведро?
Зачем мне сорок ведро?
Зачем мне секунд ведро?

[Blacklynx]

Судя по всему эта такая «шутка» автора по поводу названия уязвимого приложения.

[maximaxsh]

Когда вы предлагали найти уязвимость сразу подумал что доступ закрыт только для метода GET. Вот только я не предполагал что уязвимость будет через метод HEAD, думал через POST или PUT.

[Athari]

$('b').map(function(){return $(this).text()}).get().join('')

И какой же?

[lushchick]

$('b').text()

Все проще гораздо :)

[d00kie]

интересно, а может там сразу был Деплоер через Инвокер? Тогда сразу RCE с бэкдором было бы 8)

[santal]

ctc? ;)