DotNetTextBox编辑器洞洞 上传任意文件

  • A+
所属分类:漏洞时代
摘要

漏洞作者: piaox提交时间: 2013-03-12 17:27
公开时间: 2013-04-26 17:28漏洞类型: 设计缺陷/逻辑错误
简要描述:

漏洞作者: piaox

提交时间: 2013-03-12 17:27
公开时间: 2013-04-26 17:28

漏洞类型: 设计缺陷/逻辑错误
简要描述:

DotNetTextBox编辑器洞洞文件上传漏洞

详细说明:

DotNetTextBox编辑器洞洞 上传任意文件

漏洞证明:

1、用firebug将disabled="disabled',value="jgp,gif,png"修改为enabled="enabled",value="jpg,gif,png,aspx",然后点更新成功按钮

 

DotNetTextBox编辑器洞洞 上传任意文件

2、弹出更新成功

 

DotNetTextBox编辑器洞洞 上传任意文件

3、刷新页面,发现此时可允许上传的图片类型,成功新增aspx类型

 

DotNetTextBox编辑器洞洞 上传任意文件

4、找个aspx webshell上传、提示文件上传成功

 

DotNetTextBox编辑器洞洞 上传任意文件

5、上传成功、成功躺在那里

 

DotNetTextBox编辑器洞洞 上传任意文件

6、webshell页面

 

DotNetTextBox编辑器洞洞 上传任意文件

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: