站长新闻

• 安全检测(41)
• 技术文档(266)
• 火车头采集(13)
• 漏洞预警(1693)

站长新闻

• Yxcms管理员SESSION伪造漏洞下载

  yxcms是一款内容管理系统。借助后台一个CSRF起飞，伪造session可直接登录后台~我也是第一次见到这样有趣的漏洞，yxcms允许我们自定义session，而且这个过程通过get方式来完成。我觉得这样的问题属于CSRF，不经意之间就能

  2014-04-28

• 父母网某分站多处SQL注入漏洞下载

  漏洞站点：http://taobao.fumu.com，和主站一样使用了phpcms2008，0day先不放，先试试Nday： 注射点：http://taobao.fumu.com/comment/comment.php?action=vo

  2014-04-28

• Tencent Messenger(QQ) Dos vulnerability(critical)下载

  com.tencent.mobileqq.activity.QQBrowserDelegationActivity这个activity组件可被任意第三方程序调用导致进程crash. Process Name: com.tencent.mob

  2014-04-28

• 某通用型政府信息公开平台SQL注入漏洞下载

  虽是很简单的注入，但影响的gov很多1.漏洞存在ConInfoParticular.jsp文件，页面可通过POST、GET方式获取参数id的值，且均未过滤，导致SQL注入漏洞2.googledork:site:gov.cn inurl:Co

  2014-04-28

• 建站之星后台任意文件读取下载

  访问：http:/target/sitestar/admin/index.php?_m=../../robots.txt%00&_a=admin_addrobots.txt是系统自带，虽然是后台文件，但是其实无需管理员权限即可访问如图：wi

  2014-04-28

• 一条短信引发的联通分公司数据泄漏下载

  首先今天下午收到一条信息..第一眼看了还以为是啥。。。看见网站总有种冲动的赶脚。。然后我们打开看了 是中国联通安徽分公司的一个邮箱系统发现主站没啥东西 于是乎 看了下其他的服务器发现了http://112.122.11.135/各种数据下载

  2014-04-28

• 付宝某处越权可查看及删除其他用户的问题反馈图片下载

  支付宝某功能存在用户越权访问可查看及删除其他用户的问题反馈支付宝提交建议处存在用户越权访问，通过遍历id可查看及删除其他用户反馈的截图---越权访问： https://egg.alipay.com/index.php?r=attachmen

  2014-04-28

• Joomla! 'index.php' SQL注入漏洞下载

  受影响系统： Joomla! Joomla! 3.2.2 Joomla! Joomla! 3.2.1 描述： Joomla!是一款开放源码的内容管理系统(CMS)。Joomla 3.2.1及3.2.2版本modules/mod_tag

  2014-04-28

• 白酒剑南春某系统命令执行getshell+svn信息泄露下载

  剑南春dms系统命令执行漏洞 直接上传一句话失败 被干,上个小马，直接挂大的，发现被他人搞过的痕迹修复方案：删除 升级

  2014-04-28

• 酷我音乐某站配置不当可导致官网getshell下载

  酷我音乐某站配置不当导致getshellhttp://mbox.kuwo.cn:8080/ur/reflect/配置不当导致可以历遍目录文件上传位置未进行过滤 导致任意文件上传http://mbox.kuwo.cn:8080/ur/refl

  2014-04-28