漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-010383
漏洞标题：搜狐多个漏洞包括帐号管理系统源码下载
相关厂商：搜狐
漏洞作者： an1k3r
提交时间：2012-07-31 11:53
修复时间：2012-09-14 11:53
公开时间：2012-09-14 11:53
漏洞类型：任意文件遍历/下载
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-31： 细节已通知厂商并且等待厂商处理中
2012-07-31： 厂商已经确认，细节仅向厂商公开
2012-08-10： 细节向核心白帽子及相关领域专家公开
2012-08-20： 细节向普通白帽子公开
2012-08-30： 细节向实习白帽子公开
2012-09-14： 细节向公众公开
简要描述：
内部系统对外、目录浏览导致敏感信息泄漏,帐号管理系统源码下载等。
详细说明：
1. 目录浏览。
http://220.181.118.135
文件包括SSH自动登录脚本，不过访问限制的比较好，不能SSH登录。
2. 内部系统对外。
一个wiki系统，http://220.181.26.142/ 有ftp和数据库密码等敏感信息。
某FTP服务器。
3. 一个分站的phpinfo和apahce开启status服务
phpinfo信息泄漏 http://voice.sohu.com/info.php
开启了apahce的status服务 http://voice.sohu.com/server-status
4. 某分站源码rsync下载
漏洞证明：
在详细说明里了。
修复方案：
应该懂的
版权声明：转载请注明来源 an1k3r@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-07-31 13:02
厂商回复：
感谢反馈. 但其中1,3两台服务器不属于搜狐公司.
最新状态：
暂无