漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025580
漏洞标题：湖北省农作物种质信息与实物共享系统目录遍历致暴库
相关厂商：湖北省农作物种质信息与实物共享系统
漏洞作者： nauscript
提交时间：2013-06-10 15:22
修复时间：2013-07-25 15:22
公开时间：2013-07-25 15:22
漏洞类型：任意文件遍历/下载
危害等级：低
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-10： 细节已通知厂商并且等待厂商处理中
2013-06-14： 厂商已经确认，细节仅向厂商公开
2013-06-24： 细节向核心白帽子及相关领域专家公开
2013-07-04： 细节向普通白帽子公开
2013-07-14： 细节向实习白帽子公开
2013-07-25： 细节向公众公开
简要描述：
湖北省农作物种质信息与实物共享系统目录遍历致暴库，系统平台与动易整合设计差
详细说明：
又是一个共享系统，各种数据库文件可下载
http://www.hbcgr.com/ 湖北省农作物种质信息与实物共享系统
数据库文件包括查询共享系统的库、动易的库、邮件库、网站配置的一个库
分享系统与动易的整合较差，在输入动易常见的一些目录后就可见动易前台，甚至未作过多修改，前台管理弱口令
从共享系统的一些描述文件可看出，这是中国农业科学院作物科学研究所开发的，不知利用此次入侵对该系统目录、数据库路径等信息的了解是否会对其他各省此类系统产生影响就不得而知了，时间关系不再做检测
漏洞证明：
如上
修复方案：
防下载、目录避免遍历、深化整合及二次开发
版权声明：转载请注明来源 nauscript@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2013-06-14 23:03
厂商回复：
最新状态：
暂无