新网的漏洞，去年就提交了一波(WooYun：新网漏洞大集合)，但由于厂商原因给直接忽略了，好伤心的，今翻记事本又拾起，发现部分尚未有修复，整理如下： 1、主站存在FCKeditor 编辑器列目录漏洞，还有两分站也使用的FCKeditor 编辑器 http://www.xinnet.com/FCKeditor/editor/filemanager/browser/default/connectors…

某晚无意中寻得百度旗下某站后台一枚，登陆之，寻上传点，有过滤，解析漏洞，得shell 有漏洞的是百度旗下原创文学网站---多酷(http://yc.admin.duoku.com/)，该后台应该是文学作者发布管理作品的，直接上图吧 1、直接以百度账号登陆 2、后台“申请签约”-----“上传身份证图片”，上传phpshell图片 3、生成图片网址，后面加“/.php”，得shell 其它战果搜罗：

搜狐网SQL注射等几个不入流的漏洞，大牛贱笑了！ 1、SQL注入 http://go.sohu.com/2012/kongtiao/works.php?works=81 2、后台泄露 http://svn.go.sohu.com/pmis/factory/login.php SOHU--CMS系统--文件管理 http://cms.k.sohu.com/server/login.jsp 搜狐快递C…

上午想查一下个人医保情况，无意中点到一个链接，习惯性检测了一下，吓一跳 SQL注入点：http://web.hangzhou.com.cn/hwyst/question.php?question_id=120111104949 确定有注入，果断操起Havij，竟然是root跑的，有木有？ 由于该网是杭州地区唯一的新闻门户网站，由中共杭州市委宣传部、杭州日报报业集团和杭州广播电视集团共同组建的杭州网…

话说某天找dede模板，看到爱丽网模板很华丽很火，遂萌生检测念头，以下内容为记： 爱丽国际集团下有很多大型的门户类行业网站，据初步检测包括：aili.com、27.cn、qilincar.com(爱丽国际旗下麒麟车讯网)、533.com(533出国留学网)、9718.com(爱丽摄影团)、www.aimabz.com/www.86gw.com(北京婚庆网)、www.hongxiutuan.net(…

新网（www.xinnet.com）成立于1993年，是香港联交所上市公司中国数码集团旗下的国内顶级的互联网基础应用服务提供商。业务范围包括域名注册服务、主机服务和电子邮箱服务等。 漏洞说明： 1.Fckeditor编辑器漏洞 话说，2011年某月某日，入手的域名快到期了，于是登陆新网准备续费，貌似网站刚改版，手贱看了下banner图片链接http://hymanage.xinnet.com/cl…

最近，支付漏洞挺火，我也来爆一个吧！ 百脑汇商城，https://buynow.com.cn/ 在购买产品选择数量时允许负数，造成支付漏洞，具体见图吧~ 后续操作未敢进行测试，但后果危害不言自明...

刺猬建站是35互联推出的新一代标准化网站建设服务，极大地降低了建站和更新成本。刺猬建站功能齐全、方便易用，深受中小企业欢迎。此次漏洞属于危险代码过滤不全所致，可直接getshell，危害甚大~ 此次漏洞属于PHP危险代码过滤不全所致！！ 在用户管理后台，弹出窗口文件notice.php 这里只是简单地过滤了： <? phpinfo(); ?> 但是没有过滤php文件的另外一种写法： &…

默认数据库: Databases/myszw.mdb、Databases/myszw1.mdb 上传：upload_Photo.asp?PhotoUrlID=3、upload_Photo.asp?PhotoUrlID=1 关键字：网站建设公司企业网站管理系统 后缀：admin/login.asp 关键字：网梦购物系统 gCS<iBT   7 工具：挖掘鸡 后缀：/admin/login.as…