当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-010037

漏洞标题：大量政府网站后台地址无访问限制导致可随意添加内容

相关厂商：建站工具

漏洞作者： Volltin

提交时间：2012-07-24 08:36

修复时间：2012-09-07 08:37

公开时间：2012-09-07 08:37

漏洞类型：未授权访问/权限绕过

危害等级：低

自评Rank：4

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-24： 细节已通知厂商并且等待厂商处理中
2012-07-27： 厂商已经确认，细节仅向厂商公开
2012-08-06： 细节向核心白帽子及相关领域专家公开
2012-08-16： 细节向普通白帽子公开
2012-08-26： 细节向实习白帽子公开
2012-09-07： 细节向公众公开

简要描述：

后台地址无访问限制导致可随意添加内容，很鸡肋。

详细说明：

搜索引擎关键词：
1.inurl:admin/gg1/list.asp
2.inurl:admin/gg1/
暂时没办法拿到Webshell
用html涂涂首页挂马还是可以。

漏洞证明：

http://fpb.zhuxi.gov.cn/admin/gg1/list.asp   
http://www.tianzhushan.gov.cn/admin/gg1/list.asp   
http://www.jtzl.gov.cn/admin/gg1/list.asp   
http://www.dbs110.gov.cn/admin/gg1/list.asp   
http://www.rzrsld.gov.cn/admin/gg1/list.asp   
http://www.xiejia.gov.cn/admin/gg1/list.asp   
http://www.qjrenda.gov.cn/admin/gg1/list.asp   
http://www.investna.gov.cn/admin/gg1/list.asp   
http://www.bzhbj.gov.cn/admin/gg1/list.asp   
http://www.kfxrmzf.gov.cn/admin/gg1/list.asp   
http://www.westkj.gov.cn/admin/gg1/list.asp   
http://www.ytjtw.gov.cn/admin/gg1/list.asp   
http://www.jjmaqiao.gov.cn/admin/gg1/list.asp   
http://xnmw.xining.gov.cn/admin/gg1/list.asp   
http://www.dantulss.gov.cn/admin/gg1/list.asp   http://www.bazhouhb.gov.cn/admin/gg1/list.asp


修复方案：

没啥说的，验证权限。

版权声明：转载请注明来源 Volltin@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2012-07-27 17:15

厂商回复：

CNVD确认漏洞并复现所述情况，确认为通用软件漏洞（部分与网站配置相关），分两步进行处置：1、协调软件生产厂商（四通公司）进行处置；2、通过互联网进一步测试，整理批量处置涉及政府和重要信息系统部门的网站事件。
按部分影响完整性进行评分（事实上对网站用户有衍生威胁），rank=4.96*1.1*1.4=7.638

最新状态：

暂无