漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-041870
漏洞标题：全国中小学教师继续教育网getshell提服务器
相关厂商：teacher.com.cn
漏洞作者： xxw
提交时间：2013-11-04 16:51
修复时间：2013-11-09 16:51
公开时间：2013-11-09 16:51
漏洞类型：成功的入侵事件
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-04： 细节已通知厂商并且等待厂商处理中
2013-11-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
全国中小学教师继续教育网直接getshell可以提服务器
详细说明：
http://edu6.teacher.com.cn/tln023a/readme.txt
直接暴露了管理员帐号密码 找到后台直接进去
后台发现暴露了网站路径。。还被入侵过了留下一些东西。。
某黑阔留下的
漏洞证明：
谷歌下意外发现被某黑阔留webshell。省了不少时间直接爆破shell进去了。
发现权限好大。好多补丁都没有打可以直接提权服务器。
KB2360937 MS10-084 //
KB2478960 MS11-014 //
KB2507938 MS11-056
KB2566454 MS11-062
KB2646524 MS12-003
KB2645640 MS12-009
KB2641653 MS12-018
KB944653 MS07-067
KB952004 MS09-012
KB971657 MS09-041 ///
KB2620712 MS11-097
KB2393802 MS11-011 ///
kb942831 MS08-005
KB2503665 MS11-046 plkjlljl
KB2592799 MS11-080 //
KB952004 pr //
KB956572 烤肉
KB2718704 火焰
可以弄到system权限。
服务器就不进去了，里面还涉及些数据库。拒绝查水表！
修复方案：
装安全狗，及时更新补丁。
版权声明：转载请注明来源 xxw@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-09 16:51
厂商回复：
最新状态：
暂无