漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-095965
漏洞标题：你好万维网虚拟主机权限配置不当导致大量网站沦陷
相关厂商：nihao.net
漏洞作者： Mik3y_14
提交时间：2015-02-07 11:24
修复时间：2015-03-24 11:26
公开时间：2015-03-24 11:26
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-02-07： 细节已通知厂商并且等待厂商处理中
2015-02-09： 厂商已经确认，细节仅向厂商公开
2015-02-19： 细节向核心白帽子及相关领域专家公开
2015-03-01： 细节向普通白帽子公开
2015-03-11： 细节向实习白帽子公开
2015-03-24： 细节向公众公开
简要描述：
你好万维网虚拟主机权限配置不当导致大量网站沦陷
详细说明：
官方介绍：你好万维网隶属于北京万维通港科技有限公司，是一家国际性的高科技互联网技术服务提供商(www.nihao.net),是在中关村注册的高新技术企业。详情看漏洞证明。
漏洞证明：
官方介绍：你好万维网隶属于北京万维通港科技有限公司，是一家国际性的高科技互联网技术服务提供商(www.nihao.net),是在中关村注册的高新技术企业。
针对某个网站如下，ip地址证明该网站是你好万维网某虚拟主机，
在获取该网站webshell以后，可以查看部署在该虚拟主机上的多个其他网站的目录，
网站A：
网站B：
等等，
查看Httpd配置文件
配置文件中可以看到各个文件路径对应的网站，
可以查看该主机上所有网站每日备份数据库，
可以看到该服务器上部分网站已经被用于菠菜，如
http://www.dpgogogo.com/
该服务器影响的涉及的一些网站如下
http://www.chimabj.com.cn/
http://www.ztrod.com/
http://dreamsatellitetv.cn/
www.dyglj.com
www.egozu.com
等等
希望不要压低rank!! rank很重要~ 是对我们的一种肯定！
修复方案：
你们来吧.
版权声明：转载请注明来源 Mik3y_14@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-02-09 12:12
厂商回复：
感谢白帽子的帮助，永远支持白帽子！！
最新状态：
暂无