[转载]动网社区超市插件漏洞
文章作者：YYB今天在调试动网的时候顺便测试了下...以社区超市插件为例.
开始:
在百度上搜:"z_shop_newshop.asp"
随便找个目标. 例如:[url]http://www.sasaye.com/mybbs[/url]
默认数据库存在:[url]http://www.sasaye.com/mybbs/data/shop.asp[/url] [基本上没人会改这个数据库名]
接着注册个名.到社区超市随便买个东西.然后到我的商品按赠送.输入论坛上任意人的ID.留言上插个一句话马.我用蓝屏的: . OK...提交成功..
再通过蓝屏木马连接[url]http://www.sasaye.com/mybbs/data/shop.asp[/url] 提交大马....
OK..成功.. [url]http://www.sasaye.com/mybbs/data/hack.asp[/url] 幸好这个漏洞还不算面积太广~~~
总的说来DVBBSsp2只要不默认管理员密码、默认数据库和备份数据库路径，还是挺安全的。 这个只是管理员配置不当造成的~严格来说不属于漏洞~ .mdb de 数据库 也能这么搞吗？
页:
[1]