Dake 大可設計 承包網站 LFI - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2018-00646
  •  發信 Vendor: 大可設計軟體科技有限公司
  • Title: Dake 大可設計 承包網站 LFI
  • Introduction: file_name 參數並無過濾任何字元

處理狀態

目前狀態

公開
Last Update : 2018/07/06
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2018/05/06 23:45:25 : 新提交 (由 meowmeowmeow 更新此狀態)
  • 2018/05/07 22:02:01 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/05/09 13:04:53 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/05/09 13:04:54 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/05/09 15:03:15 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/07/06 03:00:19 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2018-00646
  • 通報者：racterub (meowmeowmeow)
  • 風險：高
  • 類型：本地檔案引入 (Local File Inclusion, LFI)

參考資料

攻擊者可經由該漏洞取得後端系統檔案及網站程式原始碼等敏感資料。

漏洞說明： OWASP - Testing for Local File Inclusion
https://www.owasp.org/index.php/Testing_for_Local_File_Inclusion

Wikepedia 漏洞說明：
https://en.wikipedia.org/wiki/File_inclusion_vulnerability

OWASP Top 10 2007 - Malicious File Execution
https://www.owasp.org/index.php/Top_10_2007-Malicious_File_Execution
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

http://www.hilios.com.tw/admin/product/file/down.php?filename=pdf_20170420114850.pdf
http://www.law-v.com.tw/admin/table/down.php?file_name=d_20161219113612.pdf&source_name=%E5%82%B5%E6%AC%8A%E4%BA%BA%E6%B8%85%E5%86%8A
https://www.tac.com.tw/adm/partner/file/down.php?file_name=report120170609173051.pdf&source_name=%E9%96%8B%E6%9C%83%E9%80%9A%E7%9F%A5%E6%9B%B8

敘述

經過幾次嘗試之後會發現 source_name 參數其實是選填的
最後在 file_name 進行 LFI 即可
圖片

=========
使用 Google Hacking 即可找到該承包商的作品
(Query: inurl:?source_name= inurl:.tw)

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;