长虹FTP弱口令可导致全网数据泄漏
披露状态:
2015-03-20: 细节已通知厂商并且等待厂商处理中
2015-03-25: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
FTP弱口令,导致了mysql数据库帐号密码泄漏,继而造成全网数据泄漏
详细说明:
FTP弱口令,于是我就登录了FTP,到了网站的根目录,有上传权限,于是就先加了webshell,发现网站是discuz论坛,于是到config_global.php找到了数据库帐号密码。测试的时候,新增了几个帐号,被管理发现了。FTP已修复,不过数据库连接在我这,可以直接添加FTP连接
漏洞证明:
webshell地址:http://bbs.changhong.com/config/a.php。
数据库:
FTP用户表:
论坛用户表:
修复方案:
mysql帐号密码修改下吧,FTP弱口令管理已经修复了,这点他们管理还是不错的。
版权声明:转载请注明来源 ChainStrong@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2015-03-20 12:25
厂商回复:
最新状态:
暂无
漏洞评价:
对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值
关注公众号:拾黑(shiheibook)了解更多!