当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-022534

漏洞标题:Dede mysql_error_trace.inc日志信息再被利用

相关厂商:Dedecms

漏洞作者: 秋之回忆

提交时间:2013-04-26 07:39

修复时间:2013-05-01 07:39

公开时间:2013-05-01 07:39

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-04-26: 细节已通知厂商并且等待厂商处理中
2013-05-01: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

DEDE mysql_error_trace.inc 日志里面残留被入侵过的账号和密码

详细说明:

plus/search.php被爆过以后,信息会记录在/data/mysql_error_trace.inc 日志里面 比如被某人注入得到的账号和密码 还有后台都残留在里面

漏洞证明:

1.jpg

/

2.jpg


3.jpg

修复方案:

现在最新的DEDE已经没有mysql_error_trace.inc 所以放心 但是入侵还在被入侵
修复方法很简单 搜 mysql_error_trace ,把 mysql_error_trace.inc 更名成 mysql_error_你喜欢的任意字符.inc
然后登录ftp,转到 /data/ 目录,把 mysql_error_trace.inc 更名成 mysql_error_你喜欢的任意字符.inc

版权声明:转载请注明来源 秋之回忆@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-05-01 07:39

厂商回复:

最新状态:

暂无


漏洞评价:

评论

  1. 2013-04-26 09:45 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    额?

  2. 2013-04-26 12:45 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    这算漏洞吗。。

  3. 2013-04-26 13:40 | davie ( 实习白帽子 | Rank:34 漏洞数:4 | 关注安全)

    算是安全隐患

  4. 2013-04-26 14:01 | 0x7575 ( 实习白帽子 | Rank:62 漏洞数:16 )

    汗死 我还以为什么呢

  5. 2013-04-26 14:35 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    @iiiiiiiii @0x7575 @davie 应该不是网上现在公开的,乌云现在审核比较严谨