漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-019793
漏洞标题：新网管理修改任意注册域名信息and DNS解析
相关厂商：新网华通信息技术有限公司
漏洞作者： Liuk3r
提交时间：2013-03-09 09:26
修复时间：2013-04-23 09:26
公开时间：2013-04-23 09:26
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-09： 细节已通知厂商并且等待厂商处理中
2013-03-13： 厂商已经确认，细节仅向厂商公开
2013-03-23： 细节向核心白帽子及相关领域专家公开
2013-04-02： 细节向普通白帽子公开
2013-04-12： 细节向实习白帽子公开
2013-04-23： 细节向公众公开
简要描述：
看到@Finger 发了那么多的新网漏洞 不知道这个发了没有
可以修改域名信息 管理DNS
详细说明：
新网越权漏洞可管理DNS 修改域名信息
应该属于逻辑性设计 导致的越权
我们打开自己名下在新网注册的任意域名：例如yuanhang5172.com到管理界面
然后我们查看到源代码
yuanhang5172.com
将yuanhang5172.com 修改成我们想要管理的域名
例如secmomoc.om
保存源码
我们然后直接点击操作
可以修改域名的所有信息
下面是DNS 这个域名用的不是新网的NDS 服务器
所以我们修改他的NDS 服务器后就可以
管理DNS 解析了
漏洞证明：
修复方案：
你们懂的
版权声明：转载请注明来源 Liuk3r@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：17
确认时间：2013-03-13 21:31
厂商回复：
非常感谢您的专业，稍后会根据漏洞情况给出相应的汇报。谢谢！
最新状态：
2013-03-26：已修复