[推荐]动力(My Power)暴库漏洞-付费问答-看雪-安全社区|安全招聘|kanxue.com

[旧帖] [推荐]动力(My Power)暴库漏洞 0.00雪花

发表于: 2010-4-1 16:24 1491

[旧帖] [推荐]动力(My Power)暴库漏洞 0.00雪花

xxh无心

2010-4-1 16:24

1491

漏洞描述:
直接输入动力系统的conn.asp的地址，如“http://www.asp163.net/inc/conn.asp”，在脚本错误提示中会暴露出数据库的真实地址及文件名，从而可以下载数据库。

<*参考 http://www.infosecurity.org.cn/article/hacker/exploit/11951.html*>
SEBUG安全建议:
第一步，将数据库的扩展名改为“.asp”或“.asa”，我们已经在数据库中做了防下载处理。改名后，即使有人知道了数据库的真实地址及文件名，也下载不了。
第二步，修改conn.asp及conn_user.asp中第5行的数据库地址，将原来使用的相对地址改为使用绝对地址。如：原来这一行内容是：db= database/adsfkldfogfdslhdfsjhk.mdb ，将之改为：
db= /database/adsfkldfogfdslhdfsjhk.mdb 。即可。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏・0

免费・0

支持