网站地图    收藏   

主页 > 后端 > 网站安全 >

某通用型电子采购平台存在任意文件上传漏洞G

来源:自学PHP网    时间:2015-04-16 23:15 作者: 阅读:

[导读] 详细说明: 1 看看前人提交的漏洞: WooYun: 某通用型电子采购平台SQL注射(涉及大量企业) ,说的是注入漏洞,后来仔细研究发现存在一个编辑器存在任意文件上传可导致批量Getshell,影...

 

详细说明:

#1.仔细研究发现存在一个编辑器存在任意文件上传可导致批量Getshell,影响危害极大。

厂商:
 

http://www.1caitong.com/ 北京网达信联科技发展有限公司



#2.Getshell漏洞
 

/ftb.imagegallery.aspx 可以直接上传asp文件


 

02.jpg

 

【声明以下案例仅供CNCERT、CNVD复现测,其它人不得利用或使用其恶意破坏,否则后果自负!】


#3.案例测试:
 

http://eps.gfgt.com/ftb.imagegallery.aspx


 

01.jpg


 

02.jpg




 

http://eps.lomon.com:8008/ftb.imagegallery.aspx


 

04.jpg




 

http://ebid.rsm.com.cn:88/ftb.imagegallery.aspx


 

03.jpg




 

http://eps.hjgrp.com/ftb.imagegallery.aspx


 

05.jpg




 

http://www.bidding-mro.com/ftb.imagegallery.aspx


 

06.jpg

 

修复方案:

以上均未近一步测试,shell已经全部删除,点到为止,感谢你的支持与理解!请国家互联网应急中心通报给厂商尽快修复把~

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论