漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033567
漏洞标题：公交某新型的网络官网getshell及服务器设置不当
相关厂商：七彩传媒
漏洞作者： suolong
提交时间：2013-08-06 10:45
修复时间：2013-09-20 10:46
公开时间：2013-09-20 10:46
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-09-20： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
走路发现联网弹的登录框，是只要打开网页就会自动弹。然后看了下官网发现。
详细说明：
【e路WiFi问答】目前北京在哪些公交线路上可以免费使用e路WiFi？ 目前阶段e路WiFi网络主要以覆盖三环内重点城区、长安街及部分中关村线路为主，预计2013年底，北京市将有近1万部公交车实现WiFi上网功能。
现在只要路过有wifi覆盖点就开始弹这个官网了，是不是会涉及到一些挂马留后门，公交用户应该涉及面很广吧。 而且c段也是公交系统。把危险消灭在萌芽中。
漏洞证明：
dedecms getshell 没继续深究 删了我自己的一句话。
还有列目录的问题
http://16wifi.com/plus/
修复方案：
修复dedecms 的漏洞。
版权声明：转载请注明来源 suolong@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝