AnalogX SimpleServer泄漏服务器文件漏洞

发布日期：2000-07-27
更新日期：2000-07-27

受影响系统：

AnalogX SimpleServer:WWW 1.0.6
- Microsoft Windows 98
- Microsoft Windows 95
- Microsoft Windows NT 4.0

不受影响系统：

AnalogX SimpleServer:WWW 1.0.7
- Microsoft Windows 98
- Microsoft Windows 95
- Microsoft Windows NT 4.0

描述：

---

正常情况下，SimpleServer:WWW 1.06对于诸如
http://www.victim.com/../file.dat (假设file.dat是一个已存在的文件名)
之类的URL请求都可以正确处理，不会泄漏file.dat的内容。
但是，如果将"."替换成.,SimpleServer就会被骗过，允许用户下载/浏览任意已知路径
和名字的系统文件。

<* 来源：Robin Keir(robin.keir@foundstone.com)
Stuart McClure (stuart.mcclure@foundstone.com)
Foundstone, Inc. (http://www.foundstone.com)
*>








测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.victim.com/../../windows/user.dat

http://www.victim.com/../../Program Files/AnalogX/SimpleServer/www/
server.log


建议：

---

升级到SimpleServer:WWW 1.07,下载地址：

http://www.analogx.com/contents/download/network/sswww.htm

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有