小鱼们欢快的闹腾起来，有的甩动着尾巴，有的吐着泡泡，有的扭动着身体，互相追玩，好不热闹。春天来了！你看，融化的冰水把小溪弄醒了。 "丁粳、丁粳 "，它就像大自然的神奇歌手，唱着清脆悦耳的歌，向前奔流……
MAS是中国移动的短信代理网关（平台）。MAS是Mobile Agent Server的简称。目前多个政府部门、国有大型企业部门、运营商、金融部门都采用该平台。MAS2.0是中国新一代的代理网关系统。漏洞有可能会泄露使用该平台的单位手机通信录，利用mas发送欺骗短信。详细说明：一、产品说明MAS是中国移动的短信代理网关（平台）。MAS是Mobile Agent Server的简称。目前多个政府部门、国有大型企业部门、运营商、金融部门都采用该平台。MAS2.0是中国新一代的代理网关系统。二、漏洞细节1、后台验证绕过漏洞后台管理页面对session赋值存在逻辑错误，使得攻击者在登陆页面输入错误账户后可以得到一个返回true的session值，此时可以直接访问后台页面，可以获取敏感资料和发送短信（厅级领导个人电话，或者发送欺骗短信）。测试步骤：a、访问登陆页面http://x.x.x.x/logon.jsp输入任意账户，登陆。b、直接访问http://x.x.x.x/left.jsp2、文件上传部门mas平台存在通信录和彩信图片上传界面，可以通过截断和本地提交方式上传jsp文件。（不通用，仅测试了一个，部分mas2.0不存在上传页面）。三、修复建议1、对后台文件进行权限验证；2、过滤上传文件后缀；漏洞证明： 
修复方案：1、对后台文件进行权限验证；2、过滤上传文件后缀；作者 Lee
本文中国移动mas2.0平台系统漏洞暴光 附修复方法到此结束。生活中，我们没有必要为难自己，质疑自己，有时，我们无法很好地理解或学会某样事物，那只是我们思考与接收问题的角度不同罢了。每个人都有自己的泪要擦，每个人都有自己的路要走，只要记得：冷了，给自己加件外衣；饿了，给自己买个面包；痛了，给自己一份坚强；失败了，给自己一个目标；跌倒了，在伤痛中爬起，给自己一个宽容的微笑继续往前走，已足够！小编再次感谢大家对我们的支持！
