记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

某动漫文化有限公司redis未授权访问,可getshell,涉及内部oa

2015-05-02 03:15

最近群里看到这家公司在招聘, 然后百度了下, 发现这家公司蛮大的, 于是扫了下端口, 发现开的端口蛮多的,首先去memcache看了下, 发现就一些内部组织架构及人员信息, 没发现比较有利用价值的数据, 然后又看了下redis,发现里面没数据。 想起redis可以在控制台下直接调用config set写文件, 于是去爆web绝对路径, 很幸运的是有个站页面报错直接暴露了绝对路径, so, 立马拿出菜刀,。。。。



oa之类的都出来了, 点到为止,数据库等都未深入, shell已自行删除,未做任何破坏。



另外再说下, 有几个端口存在.svn 泄露。





我是新手, 希望能够跟大牛们多多学习。。。

漏洞证明:

QQ图片20150317132100.png



QQ图片20150317132533.png

修复方案:

ip限制 或者关掉 无用端口, 页面报错换成404页面

知识来源: www.wooyun.org/bugs/wooyun-2015-0101858

阅读:79190 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“某动漫文化有限公司redis未授权访问,可getshell,涉及内部oa”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云