漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07872
漏洞标题：盛大某分站配置不当导致任意文件遍历
相关厂商：盛大网络
漏洞作者： Bincker
提交时间：2012-06-04 22:15
修复时间：2012-07-19 22:16
公开时间：2012-07-19 22:16
漏洞类型：任意文件遍历/下载
危害等级：低
自评Rank：1
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-04： 细节已通知厂商并且等待厂商处理中
2012-06-05： 厂商已经确认，细节仅向厂商公开
2012-06-15： 细节向核心白帽子及相关领域专家公开
2012-06-25： 细节向普通白帽子公开
2012-07-05： 细节向实习白帽子公开
2012-07-19： 细节向公众公开
简要描述：
配置不当导致任意文件遍历
详细说明：
CENTOS 自带的Apache配置不当导致列目录文件遍历。
漏洞证明：
http://image.help.sdo.com/core
修复方案：
略。
针对半年左右对盛大网络的分析，大概摸透了盛大内外网部署及安全弱点：
盛大网络这样多服务器，大型网络中非常需要一个整体的产品线及内部网络安全解决方案。
比较明显的问题有：
服务器类型、版本、应用多样化，建议建立一个健全的网络安全管理方案或者机制。
包括重要的应用系统的后台等提供外部网络访问，建议做好ACL。
权限控制不严格，产品线上发布版本或者新功能前建议功能测试和安全测试分开测试。
之前看过积分系统级几个重要的业务应用系统虽然有web端有限制IP行为，建议LDP等统一身份认证系统来控制更好。
内部网络安全建议用旁路等方式侦听，对access log iss log去自动化分析机制去挖掘发现web漏洞更合理些。
外部网络的话对全网覆盖进行扫描方式去发现挖掘漏洞。如AIscanner,VeraCode等国内外web在线扫描工具去分析。
还有就是对开发人员进行安全培训，LAMP环境下统一部署（虽然实现起来不太现实）。有统一标准安全方面管理更好控制。
还一个重要一点的是，对内部网络入侵后无法在有效时间内响应，建议建立内部入侵告警或IPS IDS响应平台。
版权声明：转载请注明来源 Bincker@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2012-06-05 09:12
厂商回复：
感谢Bincker提交漏洞信息。
最新状态：
暂无
漏洞评价：
评论
-
@Bincker 妹纸……什么时候有空啊？？~？~
( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)