仲信企業 公司存有 Local File Inclusion 漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2017-00644
  • Vendor: 仲信企業有限公司
  • Title: 仲信企業 公司存有 Local File Inclusion 漏洞
  • Introduction: LFI

處理狀態

目前狀態

公開
Last Update : 2017/10/10
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 公開

處理歷程

  • 2017/08/10:新提交 (由 Bojack 修改)
  • 2017/08/10:審核完成 (由 HITCON ZeroDay 服務團隊 修改)
  • 2017/08/11:通報未回應 (由 HITCON ZeroDay 服務團隊 修改)
  • 2017/08/11:審核完成 (由 HITCON ZeroDay 服務團隊 修改)
  • 2017/08/11:通報未回應 (由 HITCON ZeroDay 服務團隊 修改)
  • 2017/08/14:通報未回應 (由 HITCON ZeroDay 服務團隊 修改)
  • 2017/10/10:公開 (由 HITCON ZeroDay 服務團隊 修改)

詳細資料

  • Author: Bojack
  • ZDID: ZD-2017-00644
  • Risk: 低
  • Type: 本地檔案引入 (Local File Inclusion, LFI)

相關網址

http://jsecl.com/down.php

敘述

在 Google 可發現網站提供 down.php 下載功能

圖片

帶入參數 /etc/passwd 發現可成功下載

圖片

修補建議

應限制檔案下載類型及可下載路徑

擷圖

留言討論