DotNetTextBox编辑器洞洞 上传任意文件

漏洞作者: piaox 提交时间: 2013-03-12 17:27 公开时间: 2013-04-26 17:28 漏洞类型: 设计缺陷/逻辑错误 简要描述: DotNetTextBox编辑器洞洞文件上传漏洞 详细说明: DotNetTextBox编辑器洞洞 上传任意文件 漏洞证明: 1、用firebug将disabled="disabled',value="jgp,gif,png"修改为enabled="enabled",value="jpg,gif,png,aspx",然后点更新成功按钮  
DotNetTextBox编辑器洞洞 上传任意文件
2、弹出更新成功  
DotNetTextBox编辑器洞洞 上传任意文件
3、刷新页面,发现此时可允许上传的图片类型,成功新增aspx类型  
DotNetTextBox编辑器洞洞 上传任意文件
4、找个aspx webshell上传、提示文件上传成功  
DotNetTextBox编辑器洞洞 上传任意文件
5、上传成功、成功躺在那里  
DotNetTextBox编辑器洞洞 上传任意文件
6、webshell页面  
DotNetTextBox编辑器洞洞 上传任意文件

发表评论