SlideShare uma empresa Scribd logo
1 de 45
Baixar para ler offline
⼤大会线上IRC沟通
http://irc.wooyun.io/
节⽇日快乐:路⼈人甲
WooYun Summit 2015
2
ME
• 疯狗,85后,学渣
• 好多年的安全从业经验
• 乌云⺴⽹网联合创始⼈人/主站运营
3
BABY HACKER?
4
历史上的今天?
5
导⽕火索
• 2010年7⽉月9⽇日,第⼀一个XWork RCE POC现⾝身(S2-005)
6
导⽕火索
• 2010年7⽉月9⽇日,第⼀一个XWork RCE POC现⾝身(S2-005)
6
导⽕火索
• 2010年7⽉月9⽇日,第⼀一个XWork RCE POC现⾝身(S2-005)
6
关于 STRUTS2 你了解多少?
考考你:Struts2⾄至今为⽌止⼀一共出现过多少RCE级别安全漏洞?
7
0
2
3
5
6
2010 2011 2012 2013 2014 2015
RCE other
关于 STRUTS2 你了解多少?
7
关于 STRUTS2 你了解多少?
7
0
750
1500
2250
3000
2010 2011 2012 2013 2014 2015
乌云漏洞报告数量
关于 STRUTS2 你了解多少?
7
0
4
7
11
14
电商 娱乐 基础服务 传媒 物流 社交 运营商 制造业 民⽣生 ⾦金融 教育 交通 房地产 服务 医疗
漏洞影响⾏行业
乌云与 STRUTS2 的缘
8
乌云与 STRUTS2 的缘
8
乌云与 STRUTS2 的缘
8
乌云与 STRUTS2 的缘
8
乌云与 STRUTS2 的缘
8
乌云⽩白帽节
2013年漏洞爆发⽴立刻影响到的企业
9
……
国内STRUTS2漏洞应急情况
• 2012年6⽉月7⽇日国内⾸首次爆发(S2-009)
• 6⽉月7〜~9⽉月,逐渐下降
• 2013年7⽉月17⽇日再次爆发(S2-016)
• 爆发7⽉月17~7⽉月31,影响持续⾄至今
10
11
乌云漏洞吐槽平台
漏洞修复质量
12
漏洞修复质量
12
漏洞修复质量
12
漏洞修复质量
12
漏洞修复质量
12
给你们讲个笑话…弱⼝口令
13
给你们讲个笑话…弱⼝口令
13
0
100
200
300
400
14.6 14.7 14.8 14.9 14.10 14.11 14.12 15.1 15.2 15.3 15.4 15.5 15.6
⺴⽹网站弱⼝口令 服务弱⼝口令
新涌⼊入互联⺴⽹网的⾏行业与现状.
这些企业体验不太好
• 新⺴⽹网华通
• 中科三⽅方
• 泛微OA
• 中国移动
• SAE
15
这些企业体验还⾏行
• 同程旅游⺴⽹网
• ⼤大连万达集团
• ……
16
有的时候,你还得信邪
18
尊重•进步•意义
乌云荣誉勋章
漏洞报告平台总排⾏行 TOP10
乌云荣誉勋章
漏洞报告平台总排⾏行 TOP10
WOOYUN PUZZLE LIVE
答案发送到 puzzle@wooyun.org ,前三名有神秘礼物!
WOOYUN PUZZLE LIVE
答案发送到 puzzle@wooyun.org ,前三名有神秘礼物!
THANKS ALL.
22

Mais conteúdo relacionado

Semelhante a 0.struts 2 事件两周年启示+乌云社区颁奖

Trading bot演算法與軟工在程式交易上的實踐
Trading bot演算法與軟工在程式交易上的實踐Trading bot演算法與軟工在程式交易上的實踐
Trading bot演算法與軟工在程式交易上的實踐Philip Zheng
 
Onos sdn ip 建置之路 20160522
Onos sdn ip 建置之路 20160522Onos sdn ip 建置之路 20160522
Onos sdn ip 建置之路 20160522Fei Ji Siao
 
20200905_tcn_python_opencv_part1_omnixri
20200905_tcn_python_opencv_part1_omnixri20200905_tcn_python_opencv_part1_omnixri
20200905_tcn_python_opencv_part1_omnixriOmniXRI Studio
 
快速入坑 Node.js - 0613 SITCON 雲林定期聚
快速入坑 Node.js - 0613 SITCON 雲林定期聚快速入坑 Node.js - 0613 SITCON 雲林定期聚
快速入坑 Node.js - 0613 SITCON 雲林定期聚Lorex L. Yang
 
Python安全编码
Python安全编码Python安全编码
Python安全编码Leo Zhou
 
OpenLab.Taipei #2 PORTA2030
OpenLab.Taipei #2 PORTA2030OpenLab.Taipei #2 PORTA2030
OpenLab.Taipei #2 PORTA2030Rex Tsai
 
Item base poc2
Item base poc2Item base poc2
Item base poc2FEG
 
認識程式交易
認識程式交易認識程式交易
認識程式交易Philip Zheng
 
Html5研究小组《微周刊》第28期
Html5研究小组《微周刊》第28期Html5研究小组《微周刊》第28期
Html5研究小组《微周刊》第28期chloeguo
 
⼤語⾔模型 LLM 應⽤開發入⾨
⼤語⾔模型 LLM 應⽤開發入⾨⼤語⾔模型 LLM 應⽤開發入⾨
⼤語⾔模型 LLM 應⽤開發入⾨Wen-Tien Chang
 
20230830 淺談 Azure OpenAI.pdf
20230830 淺談 Azure OpenAI.pdf20230830 淺談 Azure OpenAI.pdf
20230830 淺談 Azure OpenAI.pdfKo Ko
 
6.ctf经验分享
6.ctf经验分享6.ctf经验分享
6.ctf经验分享Hsiao Tim
 

Semelhante a 0.struts 2 事件两周年启示+乌云社区颁奖 (12)

Trading bot演算法與軟工在程式交易上的實踐
Trading bot演算法與軟工在程式交易上的實踐Trading bot演算法與軟工在程式交易上的實踐
Trading bot演算法與軟工在程式交易上的實踐
 
Onos sdn ip 建置之路 20160522
Onos sdn ip 建置之路 20160522Onos sdn ip 建置之路 20160522
Onos sdn ip 建置之路 20160522
 
20200905_tcn_python_opencv_part1_omnixri
20200905_tcn_python_opencv_part1_omnixri20200905_tcn_python_opencv_part1_omnixri
20200905_tcn_python_opencv_part1_omnixri
 
快速入坑 Node.js - 0613 SITCON 雲林定期聚
快速入坑 Node.js - 0613 SITCON 雲林定期聚快速入坑 Node.js - 0613 SITCON 雲林定期聚
快速入坑 Node.js - 0613 SITCON 雲林定期聚
 
Python安全编码
Python安全编码Python安全编码
Python安全编码
 
OpenLab.Taipei #2 PORTA2030
OpenLab.Taipei #2 PORTA2030OpenLab.Taipei #2 PORTA2030
OpenLab.Taipei #2 PORTA2030
 
Item base poc2
Item base poc2Item base poc2
Item base poc2
 
認識程式交易
認識程式交易認識程式交易
認識程式交易
 
Html5研究小组《微周刊》第28期
Html5研究小组《微周刊》第28期Html5研究小组《微周刊》第28期
Html5研究小组《微周刊》第28期
 
⼤語⾔模型 LLM 應⽤開發入⾨
⼤語⾔模型 LLM 應⽤開發入⾨⼤語⾔模型 LLM 應⽤開發入⾨
⼤語⾔模型 LLM 應⽤開發入⾨
 
20230830 淺談 Azure OpenAI.pdf
20230830 淺談 Azure OpenAI.pdf20230830 淺談 Azure OpenAI.pdf
20230830 淺談 Azure OpenAI.pdf
 
6.ctf经验分享
6.ctf经验分享6.ctf经验分享
6.ctf经验分享
 

Mais de Hsiao Tim

The truth meter
The truth meterThe truth meter
The truth meterHsiao Tim
 
X realtime xmp-ptut-pdf
X realtime xmp-ptut-pdfX realtime xmp-ptut-pdf
X realtime xmp-ptut-pdfHsiao Tim
 
Js in one pic
Js in one picJs in one pic
Js in one picHsiao Tim
 
4.解析 p2 p 金融安全
4.解析 p2 p 金融安全4.解析 p2 p 金融安全
4.解析 p2 p 金融安全Hsiao Tim
 
5.云安全现场演示
5.云安全现场演示5.云安全现场演示
5.云安全现场演示Hsiao Tim
 
5.多角度对抗 waf 的思路与实例
5.多角度对抗 waf 的思路与实例5.多角度对抗 waf 的思路与实例
5.多角度对抗 waf 的思路与实例Hsiao Tim
 
4.由 pc 端安全问题引发的重重隐患
4.由 pc 端安全问题引发的重重隐患4.由 pc 端安全问题引发的重重隐患
4.由 pc 端安全问题引发的重重隐患Hsiao Tim
 
3.无人飞行器安全性分析
3.无人飞行器安全性分析3.无人飞行器安全性分析
3.无人飞行器安全性分析Hsiao Tim
 
9.“企业应急响应与反渗透”之真实案例分析
9.“企业应急响应与反渗透”之真实案例分析9.“企业应急响应与反渗透”之真实案例分析
9.“企业应急响应与反渗透”之真实案例分析Hsiao Tim
 
7.唯品会安全建设与风控杂谈
7.唯品会安全建设与风控杂谈7.唯品会安全建设与风控杂谈
7.唯品会安全建设与风控杂谈Hsiao Tim
 
6.web 安全架构浅谈
6.web 安全架构浅谈6.web 安全架构浅谈
6.web 安全架构浅谈Hsiao Tim
 
社群網站資料探勘技術
社群網站資料探勘技術社群網站資料探勘技術
社群網站資料探勘技術Hsiao Tim
 

Mais de Hsiao Tim (12)

The truth meter
The truth meterThe truth meter
The truth meter
 
X realtime xmp-ptut-pdf
X realtime xmp-ptut-pdfX realtime xmp-ptut-pdf
X realtime xmp-ptut-pdf
 
Js in one pic
Js in one picJs in one pic
Js in one pic
 
4.解析 p2 p 金融安全
4.解析 p2 p 金融安全4.解析 p2 p 金融安全
4.解析 p2 p 金融安全
 
5.云安全现场演示
5.云安全现场演示5.云安全现场演示
5.云安全现场演示
 
5.多角度对抗 waf 的思路与实例
5.多角度对抗 waf 的思路与实例5.多角度对抗 waf 的思路与实例
5.多角度对抗 waf 的思路与实例
 
4.由 pc 端安全问题引发的重重隐患
4.由 pc 端安全问题引发的重重隐患4.由 pc 端安全问题引发的重重隐患
4.由 pc 端安全问题引发的重重隐患
 
3.无人飞行器安全性分析
3.无人飞行器安全性分析3.无人飞行器安全性分析
3.无人飞行器安全性分析
 
9.“企业应急响应与反渗透”之真实案例分析
9.“企业应急响应与反渗透”之真实案例分析9.“企业应急响应与反渗透”之真实案例分析
9.“企业应急响应与反渗透”之真实案例分析
 
7.唯品会安全建设与风控杂谈
7.唯品会安全建设与风控杂谈7.唯品会安全建设与风控杂谈
7.唯品会安全建设与风控杂谈
 
6.web 安全架构浅谈
6.web 安全架构浅谈6.web 安全架构浅谈
6.web 安全架构浅谈
 
社群網站資料探勘技術
社群網站資料探勘技術社群網站資料探勘技術
社群網站資料探勘技術
 

0.struts 2 事件两周年启示+乌云社区颁奖