记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

迈外迪一个通杀的漏洞可影响旗下大部分网站系统

2015-02-09 01:40

WooYun: 迈外迪某后台使用第三方组件存在上传漏洞

一开始没太在意,但是看到在google site:wiwide.com 找出来的二级域名几乎全部都有SVN信息泄露的时候,觉得这个事情不简单。

code 区域
http://profession3.wiwide.com/.svn/entries

http://portalc.wiwide.com/.svn/entries





code 区域
http://widash-lz.wiwide.com/uploadify/scripts/_notes/dwsync.xml

http://profession3.wiwide.com/uploadify/scripts/_notes/dwsync.xml

http://portalc.wiwide.com/uploadify/scripts/_notes/dwsync.xml

http://211.101.12.78:7777/uploadify/scripts/_notes/dwsync.xml

http://liangan.wiclub.wiwide.com/uploadify/scripts/_notes/dwsync.xml



漏洞证明:

code 区域
[*] 基本信息 [ Linux WiWide-172-17-12-94 2.6.32-37-server #81-Ubuntu SMP Fri Dec 2 20:49:12 UTC 2011 x86_64(www-data) ]



[/home/demowiwide/dash_project/wiwidedashrep/src/www/uploads/]$ last -10

demowiwi pts/0 124.65.163.74 Thu Dec 25 15:16 - 15:16 (00:00)

demowiwi pts/0 124.65.163.74 Thu Dec 25 09:04 - 14:24 (05:20)

demowiwi pts/0 124.65.163.74 Wed Dec 24 18:35 - 19:24 (00:48)

demowiwi pts/1 124.65.163.74 Mon Dec 15 11:14 - 19:24 (08:10)

demowiwi pts/0 124.65.163.74 Mon Dec 15 11:13 - 19:24 (08:10)

demowiwi pts/0 1.202.33.137 Sun Dec 14 14:33 - 14:54 (00:21)

demowiwi pts/0 124.65.163.74 Fri Dec 12 16:19 - 18:32 (02:13)

demowiwi pts/0 124.65.163.74 Thu Dec 11 17:46 - 19:58 (02:11)

demowiwi pts/0 124.65.163.74 Wed Dec 10 15:10 - 18:18 (03:08)

demowiwi pts/0 180.168.167.86 Thu Dec 4 20:14 - 22:26 (02:11)





mysql.png



wwwroot.png





修复方案:

#1 减少敏感信息泄露

#2 尽量少用第三方组件

知识来源: www.wooyun.org/bugs/wooyun-2015-088675

阅读:96910 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“迈外迪一个通杀的漏洞可影响旗下大部分网站系统”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云