当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-014450

漏洞标题：海澜之家网站沦陷、全部信息泄漏

相关厂商：heilanhome.com

漏洞作者： WyH4ck

提交时间：2012-11-09 13:29

修复时间：2012-11-14 13:29

公开时间：2012-11-14 13:29

漏洞类型：成功的入侵事件

危害等级：中

自评Rank：8

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-11-09： 细节已通知厂商并且等待厂商处理中
2012-11-14： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

上传漏洞，导致网站沦陷。

详细说明：

漏洞地址：http://www.learnchinese.cn/editor/filemanagerhttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/test.html
iis6.0 解析 1.asp;.jpg、asa 等后缀。。
可直接修改木马后缀、上传直接获取webshell。

漏洞证明：

上传一句话，直接进入。。。
权限各种有。全部站可跨、可写。。
导致论坛、官网等一系列旁站全部沦陷。

QQ截图20121106201445.png

修复方案：


删除上传地址。。
其余的、相信管理员会比我专业。

版权声明：转载请注明来源 WyH4ck@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-11-14 13:29

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2012-11-07 17:45 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    等厂商认领中……洞主可以去到官网给客服留言……

  2. 2012-11-08 10:25 | WyH4ck ( 路人 | Rank:5 漏洞数:2 | 你若幸福、便是终点！)

    @zzR 好的、谢谢提醒

  3. 2012-11-14 14:54 | Micro Da ( 实习白帽子 | Rank:66 漏洞数:7 | Micro Da)

    厂商太牛B了。。这都能忽略

  4. 2012-11-14 15:32 | 陈再胜 ( 普通白帽子 | Rank:121 漏洞数:13 | 微博收收听~~~●﹏●)

    页面被删除了··难道是厂家偷偷修复了？

  5. 2012-11-14 17:27 | 江苏苏宁易购电子商务有限公司(乌云厂商)

    @WyH4ck 海澜之家应该是新注册的吧，怎么还会忽略？！不懂了

  6. 2012-11-14 17:59 | WyH4ck ( 路人 | Rank:5 漏洞数:2 | 你若幸福、便是终点！)

    我了个去。坑爹啊。。这样也能忽略。各种鄙视忽略后修补漏洞的厂商。、。

  7. 2012-11-14 18:00 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    @WyH4ck 洞主，厂商是你联系过来的么？话说

  8. 2012-11-14 18:06 | WyH4ck ( 路人 | Rank:5 漏洞数:2 | 你若幸福、便是终点！)

    @zzR 用邮件通知来认领了。。不过果断被厂商给忽略了。。蛋疼。。

  9. 2012-11-14 18:15 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    @WyH4ck 悲剧，乌云使用说明肯定没看清楚！

  10. 2012-11-14 18:25 | 陈再胜 ( 普通白帽子 | Rank:121 漏洞数:13 | 微博收收听~~~●﹏●)

    @xsser 元芳，你怎么看？

  11. 2012-11-15 00:40 | 凡客诚品(乌云厂商)

    http://www.learnchinese.cn？

  12. 2012-11-15 07:00 | WyH4ck ( 路人 | Rank:5 漏洞数:2 | 你若幸福、便是终点！)

    @凡客诚品 这是旁站、利用他进去直接干掉全部旁站。