移动某测试站点多个漏洞存在信息泄露风险下载

来源:黑吧安全网 浏览:722次 时间:2014-05-13
做网站找雨过天晴工作室

1# 开头从一个目测是测试网站开始,地址是:http://211.139.191.144:8001/

标题是移动开发者社区,但是点首页是显示http://dev.10086.cn/,且利用网址在dev.10086.cn不存在。故猜测是测试点?!

2# 利用点:phpmyadmin 地址:http://211.139.191.144:8001/cmdn/phpMyAdmin/

该地址不存在于http://dev.10086.cn/

弱口令 root 密码空 顺利进入

3# 接下来是尝试getshell。利用http://211.139.191.144:8001/cmdn/phpMyAdmin/libraries/select_lang.lib.php 顺利爆出目录地址/opt/aspire/product/cmdn/apache2/htdocs/cmdn/phpMyAdmin/libraries/select_lang.lib.php ,但在outfile过程中提示无法写入。

加上才疏学浅,故未拿到shell。通过数据库用户信息可以登录http://dev.10086.cn/,两个网站数据库相通的??由于屌丝没法付费破解管理员cmd,且无人帮我,故放弃从网站后台getshell。到此测试结束。

4# 涉及多个数据库,用户数据涉及账号、密码、手机号、身份证号等等。共数百万数据,这里不一一证明。

5# 郑重承诺,无脱裤行为。