上周忙着打比赛去了，没能及时回复@ybdt，实在抱歉。
不过这个漏洞是Xray扫出来的，具体什么型号还不能说，请谅解。
漏洞原理很简单，Lighttpd配置不当。错误的配置WebDAV导致存在PUT文件上传漏洞。
只读模式是关闭的
什么是WebDAV
WebDAV：分布式创作和版本控制协议 （Web-based Distributed Authoring and Versioning）一种基于 HTTP1.1协议的通信协议。它扩展了HTTP 1.1，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法，使应用程序可直接对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持文件的版本控制。
自己也测试了一下，不仅可以任意文件上传，还可以使用DELETE 删除任意文件。
原文始发于微信公众号（backdoor）：IoT设备的PUT文件上传漏洞 - 后续
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论