频道栏目
首页 > 安全 > 网站安全 > 正文

海尔集团某系统任意文件上传导致沦陷(修复方案)

2013-09-25 12:21:58            作者:小胖子
收藏   我要投稿
系统地址http://218.58.70.214/haiergc/海尔大客户项目管理系统

 

其实具体绑定什么域名我也不知道,只知道这个是你们C段里面的某个新系统,在你们内部导航看到的。

先注册,这个注册是一个漏洞的起源,最好内部注册了给别人账号,关闭开放注册。

进去系统之后新建一条 然后信息维护。看见有ID=xx想注射的,看到上传更高兴。

这里的上传都没有过滤。伤了心,上传任意aspx,拿了webshell。

在菜刀看一下服务器上东西不少啊,特别是客户信息啊。

 



 

 

权限是NT,不过提权估计很简单啊~~

服务器在内网,来个内网大渗透?

 

 

IP Address. . . . . . . . . . . . : 10.135.6.85

 

Subnet Mask . . . . . . . . . . . : 255.255.255.0

 

Default Gateway . . . . . . . . . : 10.135.6.254

 

修复方案:

0x1:关闭注册,防范于未然。

 

0x2:任意文件上传不应该。

 

0x3:文件上传目录不要有执行权限。

 

0x4:服务器目录权限控制。 

 

上一篇:搜房网存在xss漏洞可导致csrf可导致用户帐号被盗
下一篇:搜狐视频某重要功能储存XSS
相关文章
图文推荐
热门新闻

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站