发布日期：2003-04-02
更新日期：2003-04-04

受影响系统：

BEA Systems Weblogic Server 7.0.0.1 SP2
BEA Systems Weblogic Server 7.0 SP2

描述：

---

BUGTRAQ  ID: 7257

BEA Systems WebLogic包含多种系统集成方案，包括Server/Express/Integration等。

BEA Systems WebLogic对特殊GET HTTP请求处理不正确，远程攻击者可以利用这个漏洞获得服务器主机名(在Windows机器上的NetBIOS名)。

攻击者可以提交不正确的HTTP GET请求，可导致服务程序返回主机名信息（在Windows机器上的NetBIOS名）。

<*来源：Michael Hendrickx （michael@scanit.be）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=104931475907894&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Michael Hendrickx （michael@scanit.be）提供了如下测试方法：

GET . HTTP/1.0\r\n\r\n

在旧的系统中(Weblogic 7.0)，提交请求如下：

BLAH . BLAH\r\n\r\n

建议：

---

厂商补丁：

BEA Systems
-----------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://commerce.beasys.com/downloads/weblogic_server.jsp

浏览次数：3038
严重程度：0（网友投票）