漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014014
漏洞标题：陕西省粮食局IIS配置安全隐患
相关厂商：陕西省粮食局
漏洞作者： 邻国宰相
提交时间：2012-10-29 15:35
修复时间：2012-12-13 15:36
公开时间：2012-12-13 15:36
漏洞类型：系统/服务运维配置不当
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-29： 细节已通知厂商并且等待厂商处理中
2012-10-29： 厂商已经确认，细节仅向厂商公开
2012-11-08： 细节向核心白帽子及相关领域专家公开
2012-11-18： 细节向普通白帽子公开
2012-11-28： 细节向实习白帽子公开
2012-12-13： 细节向公众公开
简要描述：
好久没上乌云了，时间问题，就来看看，以前提交的貌似还有好多未审核，不知道情况啊。不会是封杀我了吧。呵呵。
回到正题吧官网存在列目录，泄漏敏感信息，且有可执行权限
详细说明：
网址http://www.shaanxigrain.gov.cn/
此处列目录http://www.shaanxigrain.gov.cn/images/red/
而且存在PUT可写权限，XSS脚本攻击漏洞.PUT测试只能执行txt以及html和图片文件，也可以上传图片，比如首页标题图片http://www.shaanxigrain.gov.cn/images/red/top1.jpg通过PUT 可以上传任意一张图片替换images/red/top1.jpg（MOVE图片名为images/red/top1.jpg） 那首页可就面目全非了
漏洞证明：
址http://www.shaanxigrain.gov.cn/images/red/
http://www.shaanxigrain.gov.cn/vN.txt
修复方案：
CNVD处理吧
版权声明：转载请注明来源 邻国宰相@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2012-10-29 20:00
厂商回复：
CNVD确认漏洞并复现所述情况，感谢宰相的工作，仅限于找一些网站的HTTP不安全方法漏洞有些屈才了。CNVD将于近期批量确认您之前所做的很多工作。
转由CNCERT陕西分中心协调涉事单位处置。
参考自评,rank 8
最新状态：
暂无