漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-022164
漏洞标题：北京交通大学友情探测，源码打包泄露数据库信息
相关厂商：北京交通大学
漏洞作者： cavalier艾
提交时间：2013-04-19 20:32
修复时间：2013-06-14 10:45
公开时间：2013-06-14 10:45
漏洞类型：成功的入侵事件
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-19： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-06-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
由旁站进行友情渗透，然后就出现了各种的问题，例如：数据库、源码包备份、文件允许上传等问题。建议对整个网站进行整改。
详细说明：
由旁站进行友情渗透，然后就出现了各种的问题，例如：数据库、物源码包备份、文件允许上传等问题。建议对整个网站进行整改。
漏洞证明：
密码那些太过于涉及隐私的就和谐掉了，看用户名应该能发现和数据库的是一样的行了。
同样的，这也是和谐的源码包
有数据库后台直接就可以登录进去了。
可以创建后台用户
用户头像那里没有进行过滤，可以直接上传，然后就可以进一步渗透，系统是2008R2的，但是因为是友情检测，所以就到这里。
北京交通大学作为212工程学校不应该存在这些漏洞问题，如果得罪尽情包含，这只是一个友情探侧。
最后这是邮箱。
修复方案：
版权声明：转载请注明来源 cavalier艾@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝