当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(16) 关注此漏洞

缺陷编号: WooYun-2014-60318

漏洞标题: WCG中国区举办方某漏洞导致主站GetShell(数据存在泄漏风险)

相关厂商: 牛视网

漏洞作者: Black Angel

提交时间: 2014-05-12 12:44

公开时间: 2014-06-26 12:45

漏洞类型: 文件上传导致任意代码执行

危害等级: 高

自评Rank: 20

漏洞状态: 未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 任意文件上传 任意webshell 文件上传 任意文件上传

1人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-12: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-06-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

20rank 礼物一枚 thx.

详细说明:

问题站点:http://cms.neotv.cn/

目标站点:http://www.neotv.cn/



首先分析出他是PHPCMSV9



然后通过http://wooyun.org/bugs/wooyun-2013-044084进行getshell操作.

1.png



2.png



3.png





4.png



至此 目标站点沦陷.

漏洞证明:

问题站点:http://cms.neotv.cn/

目标站点:http://www.neotv.cn/



首先分析出他是PHPCMSV9



然后通过http://wooyun.org/bugs/wooyun-2013-044084进行getshell操作.

1.png



2.png



3.png





4.png



至此 目标站点沦陷.



几百万会员数据我没动.



分看着给吧,礼物看着发吧.

修复方案:

我上面给了一个URL,那里有修复方法.

版权声明:转载请注明来源 Black Angel@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-05-13 11:28 | zzR 认证白帽子 ( 核心白帽子 | Rank:1408 漏洞数:125 | 东方红**联盟欢迎你-0-)
    0

    能让我上主舞台打Dota VS EHOME 嘛?

  2. 2014-05-14 11:47 | ak47 ( 路人 | Rank:6 漏洞数:2 | 扫射)
    0

    不是都停办了么?

  3. 2014-05-14 14:58 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区! Blog:http://www.xlixli....)
    0

    已经停办了- - 哭

  4. 2014-05-14 16:45 | Azui ( 实习白帽子 | Rank:61 漏洞数:15 | 人有两件宝,双手和大脑。)
    1

    wp.

  5. 2015-01-17 21:08 | g0odnight ( 实习白帽子 | Rank:83 漏洞数:19 | 么么哒,呵呵哒,么蛤蛤~)
    1

    还好参加2012年的WCG。美好的回忆

登录后才能发表评论,请先 登录