漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0140075
漏洞标题：某移动应用方案解决商已经成养马场
相关厂商：玄武科技
漏洞作者： 路人甲
提交时间：2015-09-10 15:32
修复时间：2015-10-25 15:34
公开时间：2015-10-25 15:34
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：12
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-10： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-10-25： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
存在多个漏洞，组合拳。
详细说明：
晚上发现下午某前同事说她公司的网站被人黑了，以下是她的截图，所以就简单的看看。
1、随手检测了下，发现有个注入...一下子就跑出数据库、表等信息了。
2、然后随便点了下，发现使用的thinkPHP框架，然后就进后台看了下，本人小菜，没怎么玩过这些。
所以就点了下新闻发布页，随便点进一个查看，发现有fck - - ，然后果断瞧瞧看fck的版本，发现是2.6.3。好吧，fck的啥都没精简，轻而易举的拿了个shell...
然后发现上面一堆shell之类的。。。随便截几个图。
最后一个，上传了各种抓hash、提权exe，是已经在内网渗透了么~~~
漏洞证明：
然后发现上面一堆shell之类的。。。随便截几个图。
最后一个，上传了各种抓hash、提权exe，是已经在内网渗透了么~~~
修复方案：
1、用新版本吧。。。
2、后台，弱口令哦~~
3、都被人搞黑产了，赶紧清除本上传的shell。
4、不知道内网有没有被搞，还是查查为好~~
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝