漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-024662
漏洞标题:uxdaward2013官网 文件上传漏洞拿shell+cookie注入漏洞+可随意查看其他队伍信息
相关厂商:UXD AWARD 2013
漏洞作者: Jasonx
提交时间:2013-05-28 11:47
修复时间:2013-07-12 11:48
公开时间:2013-07-12 11:48
漏洞类型:SQL注射漏洞
危害等级:中
自评Rank:10
漏洞状态:未联系到厂商或者厂商积极忽略
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-05-28: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-07-12: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
uxdaward2013用户体验大赛官网,cookie注入,所有用户信息,比赛团队信息等泄露.文件上传漏洞,拿shell
详细说明:
cookie注入点: http://www.uxdaward.org/member/ 团队信息页,未对cookie中wordid 团队id字段做检查,可以进行SQL注入或者可以直接随便查看并修改其他团队的信息.
报告上传页,没有检查文件类型,并且可以得到绝对路径
漏洞证明:
直接查看修改其他团队信息
注入:网站绝对路径暴露
接下来标准流程。。。
表名:
列名:
信息:
最后是文件上传漏洞:
不知道是因为上传日期到了还是管理员在修复漏洞,上传按钮代码被注释不过没删除。可以自己打开
传大马
修复方案:
都是最基本的,记得过滤cookie攻击,上传的时候检查文件类型。。。
求个激活码~
版权声明:转载请注明来源 Jasonx@乌云
漏洞回应
厂商回应:
未能联系到厂商或者厂商积极拒绝