网狐6603棋牌网站程序后台部分任意文件上传漏洞

漏洞标题 网狐6603棋牌网站程序后台部分任意文件上传漏洞 相关厂商 网狐 漏洞作者 路人甲 提交时间 2014-05-11 11:55 公开时间 2014-08-09 11:56 漏洞类型 账户体系控制不严 危害等级 中 自评Rank 5 漏洞状态 未联系到厂商或者厂商积极忽略 Tags标签 漏洞详情

网狐6603棋牌程序 百度：gamerules.aspx?KindID=

基本都是网狐6603的程序

随便找一个

查看这个图片的路径URL

这个就是后台地址

好吧 主要的内容在这 上传 http://www.game69.cn:888/tools/filesupload.aspx

就是这个上传 上传一张图片后缀的aspx马 burp 修改图片马名字为aspx后缀 果断上传

漏洞证明： 



修复方案：

登录后上传