安全中国首页 > 新闻中心 > 网站程序漏洞
 

Xaraya远程目录遍历注入漏洞

更新时间:2005-12-2 1:18:00
责任编辑:池天
热 点:
发布时间:2005-11-30 15:02:46
文章作者:ADLab
文章来源:启明星辰
 
BUGTRAQ ID: 15623
CNCAN ID:CNCAN-2005113022

漏洞消息时间:2005-11-29

漏洞起因
输入验证错误

影响系统
Xaraya Xaraya 1.0 RC4
Xaraya Xaraya 1.0 RC3
Xaraya Xaraya 1.0 RC2
Xaraya Xaraya 1.0 RC1

危害
远程攻击者可以利用漏洞进行SQL注入攻击获得敏感信息。

攻击所需条件
攻击者必须访问Xaraya。

漏洞信息
Xaraya是一款基于WEB的开放源代码WEB应用程序架构。
Xaraya不充分过滤用户提交的URI,远程攻击者可以利用漏洞以WEB权限查看系统文件内容。
问题是index.php脚本对用户提交的’module’参数缺少充分过滤,提交包含多个"../"字符作为WEB参数数据,可绕过WEB ROOT限制,以WEB权限查看系统文件内容。

测试方法
http://www.example.com/[path_to_xaraya]/index.php?module=../../../../.key.php
http://www.example.com/[path_to_xaraya]/index.php?module=../../../../../.htaccess
http://www.example.com/[path_to_xaraya]/index.php?module=../../../../config.system.php%00

厂商解决方案
目前没有解决方案提供,请关注以下链接:
http://www.xaraya.com/

漏洞提供者
rgod <retrogod@aliceposta.it>. 

漏洞消息链接
http://www.securityfocus.com/bid/15623

漏洞消息标题
Xaraya Directory Traversal Vulnerability

 
安全中国网友投稿专用上传FTP空间:
Ftp服务器:www.anqn.com
Ftp端口:21
用户名:anqn
密 码:anqn.com
 
学习软件编程开发技术,推荐加入以下软件编程培训班:
易语言软件编程培训班(简单易学)  Delphi软件编程培训班  VC++软件编程培训班
VB软件编程培训班  JAVA高端编程就业研发班

学习网站开发制作技术,推荐加入以下网站开发培训班:
ASP.net网站开发项目实战班  ASP语言网站建设培训班

学习网络安全入侵防护技术,推荐加入以下技术培训班:
大型网络安全入侵防护班  网站脚本程序全方位安全检测班

学习网络管理、网吧运营维护技术(网管),推荐加入以下培训班:
大型网吧技术管理人才特训班  Linux网络嵌入架构工程师培训班

学习专项特殊技术,推荐加入以下专项技术培训班:
软件与游戏外挂脱壳破解班(逆向工程)  赚钱王道-网赚技能培训班  Flash动画设计师就业特训班