注册
登录
| 关键词： 口令 攻击者 用户名 NEXTWEB Site victim 补丁 输入 厂商 asp |
影响系统：NEXTWEB (i)Site描述：--------------------------------------------------------------------------------NEXTWEB (i)Site是一款站点管理系统。 (i)Site中存在多个安全漏洞，攻击者可能利用这些漏洞获取服务器信息。 1. login.asp中的SQL注入 攻击者可以通过发送特制的用户名和口令绕过认证，获取对(i)Site的管理访问。 www.victim.com/admin/login.asp用户名：attacker口令：' or 'a'='a 2. 数据库处于不安全的目录中，这样下载Users.mdb文件就可能泄漏管理员的用户名和口令。 www.victim.com/databases/Users.mdb 3. 无法处理意外情况和验证用户输入。以下输入可以导致几分钟的error 500。 www.victim.com/isite/page/*.asp?mu=&cmu=' <*来源：Trash-80 （[email protected]） Jim Pangalos （[email protected]） 链接：http://marc.theaimsgroup.com/?l=bugtraq&m=111764682925083&w=2*> 建议：--------------------------------------------------------------------------------厂商补丁： NEXTWEB-------目前厂商还没有提供补丁或者升级程序 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
