WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-038060

漏洞标题：考试通漏洞系列1-运维配置错误导致任意源码读取

相关厂商：考试通

漏洞作者： 带馅儿馒头

提交时间：2013-09-25 11:20

修复时间：2013-11-09 11:20

公开时间：2013-11-09 11:20

漏洞类型：应用配置错误

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2013-09-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-11-09： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

RT

详细说明：

首先发现img.kstong.net和www.kstong.net在同一个ip上

本来觉得没什么，但是无意间发现img.kstong.net能够遍历目录

遍历目录本来也没觉得什么，但是img.kstong.net和www.kstong.net居然在一台服务器上，而且通过img.kstong.net居然能够读取www.kstong.net所有源代码。这个域名下怎么就不解析呢，这是肿么一回事，我也没搞懂呀！随便展示2个吧！！

既然又能遍历目录，又能读取源代码，数据库什么的东东当然就不足话下咯，各种配置文件

数据库配置信息

数据库文件

漏洞证明：

修复方案：

版权声明：转载请注明来源 带馅儿馒头@乌云

漏洞回应