当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-07872

漏洞标题:盛大某分站配置不当导致任意文件遍历

相关厂商:盛大网络

漏洞作者: Bincker

提交时间:2012-06-04 22:15

修复时间:2012-07-19 22:16

公开时间:2012-07-19 22:16

漏洞类型:任意文件遍历/下载

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-06-04: 细节已通知厂商并且等待厂商处理中
2012-06-05: 厂商已经确认,细节仅向厂商公开
2012-06-15: 细节向核心白帽子及相关领域专家公开
2012-06-25: 细节向普通白帽子公开
2012-07-05: 细节向实习白帽子公开
2012-07-19: 细节向公众公开

简要描述:

配置不当导致任意文件遍历

详细说明:

CENTOS 自带的Apache配置不当导致列目录文件遍历。

漏洞证明:

http://image.help.sdo.com/core

修复方案:

略。
针对半年左右对盛大网络的分析,大概摸透了盛大内外网部署及安全弱点:
盛大网络这样多服务器,大型网络中非常需要一个整体的产品线及内部网络安全解决方案。
比较明显的问题有:
服务器类型、版本、应用多样化,建议建立一个健全的网络安全管理方案或者机制。
包括重要的应用系统的后台等提供外部网络访问,建议做好ACL。
权限控制不严格,产品线上发布版本或者新功能前建议功能测试和安全测试分开测试。
之前看过积分系统级几个重要的业务应用系统虽然有web端有限制IP行为,建议LDP等统一身份认证系统来控制更好。
内部网络安全建议用旁路等方式侦听,对access log iss log去自动化分析机制去挖掘发现web漏洞更合理些。
外部网络的话对全网覆盖进行扫描方式去发现挖掘漏洞。如AIscanner,VeraCode等国内外web在线扫描工具去分析。
还有就是对开发人员进行安全培训,LAMP环境下统一部署(虽然实现起来不太现实)。有统一标准安全方面管理更好控制。
还一个重要一点的是,对内部网络入侵后无法在有效时间内响应,建议建立内部入侵告警或IPS IDS响应平台。

版权声明:转载请注明来源 Bincker@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2012-06-05 09:12

厂商回复:

感谢Bincker提交漏洞信息。

最新状态:

暂无


漏洞评价:

评论

  1. 2012-07-14 00:58 | rdpclip ( 实习白帽子 | Rank:50 漏洞数:4 | 脚踏实地,不慕虚华,实事求是的rdpclip)

    @Bincker bin哥V5.这种小细节不注意,找几个蛛丝马迹就搞进核心数据库了。

  2. 2012-07-20 00:31 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产;如遇接单收徒、绝非本人所...)

    @Bincker 妹纸……什么时候有空啊??~?~