漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-066617
漏洞标题：360云盘上传文件过滤不严格
相关厂商：奇虎360
漏洞作者： 路人甲
提交时间：2014-07-03 10:22
修复时间：2014-08-17 10:22
公开时间：2014-08-17 10:22
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-03： 细节已通知厂商并且等待厂商处理中
2014-07-03： 厂商已经确认，细节仅向厂商公开
2014-07-13： 细节向核心白帽子及相关领域专家公开
2014-07-23： 细节向普通白帽子公开
2014-08-02： 细节向实习白帽子公开
2014-08-17： 细节向公众公开
简要描述：
360网盘上传过滤不严格，360怎么还是改不了判断文件还是只先通过识别文件名来判断这个文件是否可以上传。
详细说明：
打开360网盘，登录后，本来想上传视频的，结果出现这个因系统升级维护，暂停视音频传输服务，请见谅。如图：
漏洞证明：
后面把视频文件后缀改成txt，再重新上传，就上传上去了。如图：
修复方案：
上传完后可以直接对自己上传的文件进行重命名了。
改完文件后缀名后，直接试用360视频在线播放，一样可以观看视频。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2014-07-03 17:30
厂商回复：
上传文件类型限制属于产品功能的临时调整，很快将取消限制，因此并未做强验证。感谢乌云白帽子的反馈。
同时欢迎关注360安全应急响应中心月奖励计划！
最新状态：
暂无