中国网络渗透测试联盟
标题:
方维社会化分享系统一句话漏洞
[打印本页]
作者:
admin
时间:
2012-11-12 10:43
标题:
方维社会化分享系统一句话漏洞
[attach]115[/attach][attach]116[/attach]简要描述：
6 O& n7 g8 L t" E5 ?4 n
# N1 i8 Q0 ?' W0 g% ]6 Z
个人简介过滤不严格，导致一句话任意执行代码。
6 _ j" n8 T* y4 g7 c' r
6 a$ A7 q7 d* T4 L+ e- q
详细说明：
5 o. p3 X, D! M+ K
个人简介过滤不严格，将用户提交的代码保存下来，模板缓存后再次读取时直接执行用户代码！
+ D0 T$ J2 q" T% q& x6 H
) F M- a; I/ L" } [2 s
2 s# N8 x7 y' t3 M3 K4 `) `
漏洞证明：
; p" j+ G/ l: g* y7 R; X" g
2 k" u2 x& z5 k
/ {! d! G3 _* @
修复方案：
x# v# N7 n. R
过滤个人简介。
6 [. s$ I+ r" \0 {' Q, U* L
检查其他地方同类漏洞！
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2