漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-024662
漏洞标题：uxdaward2013官网 文件上传漏洞拿shell+cookie注入漏洞+可随意查看其他队伍信息
相关厂商：UXD AWARD 2013
漏洞作者： Jasonx
提交时间：2013-05-28 11:47
修复时间：2013-07-12 11:48
公开时间：2013-07-12 11:48
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-28： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-07-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
uxdaward2013用户体验大赛官网,cookie注入,所有用户信息,比赛团队信息等泄露.文件上传漏洞,拿shell
详细说明：
cookie注入点: http://www.uxdaward.org/member/ 团队信息页,未对cookie中wordid 团队id字段做检查,可以进行SQL注入或者可以直接随便查看并修改其他团队的信息.
报告上传页，没有检查文件类型，并且可以得到绝对路径
漏洞证明：
直接查看修改其他团队信息
注入：网站绝对路径暴露
接下来标准流程。。。
表名：
列名：
信息：
最后是文件上传漏洞：
不知道是因为上传日期到了还是管理员在修复漏洞，上传按钮代码被注释不过没删除。可以自己打开
传大马
修复方案：
都是最基本的，记得过滤cookie攻击，上传的时候检查文件类型。。。
求个激活码~
版权声明：转载请注明来源 Jasonx@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝