漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-018433
漏洞标题：安卓开发平台存在上传漏洞和Apache解析漏洞,成功获取webshell
相关厂商：Rexsee
漏洞作者： 流星warden
提交时间：2013-03-21 16:52
修复时间：2013-05-05 16:53
公开时间：2013-05-05 16:53
漏洞类型：文件上传导致任意代码执行
危害等级：中
自评Rank：2
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-21： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-05-05： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
由于安卓开发平台对于上传文件的过滤不严导致可以直接上传PHP木马，并且存在Apache解析漏洞，上传PHP马后可以直接拿到webshell。
详细说明：
在http://www.rexsee.com/上注册任意账号，然后创建图片集应用，接下来上传一个图片马
解析来访问你图片马的地址就是菜刀连接地址
漏洞证明：
![`$VE]_X8JK42Y3S(DVX~OGF.jpg](https://w.hundan.org/articles/attach/201302/05222125227ada4c1a6f834d91943317375d026b.jpg)
修复方案：
过滤上传的文件
版权声明：转载请注明来源 流星warden@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：16 (WooYun评价)