我喜欢黑夜,喜欢网络安全,孤独寂寞的黑夜里,我只需要,一包烟,一台笔记本...
更多
首  页>>网络攻防>> 渗透测试WebDAV曝目录写权限漏洞
WebDAV曝目录写权限漏洞
3356
2推荐
0评论

近日,360网站安全检测平台发布紧急安全通告称,应用广泛的通信协议WebDAV存在目录写权限高危漏洞,攻击者可上传任意文本文件,并结合服务器解析漏洞达到上传WebShell的目的,最高可能导致源代码泄露。经360网站安全检测的取样分析和研究,预估全国范围内接近60,000 网站存在此漏洞,一旦黑客发动大规模攻击,大量网站将损失惨重。
 
   据了解,WebDAV(Web-based Distributed Authoring and Versioning)是一种基于 HTTP 1.1协议的通信协议,一般用来发布和管理Web资源,包括Win2000/XP、IE、Office以及Dreamweaver均支持WebDAV,这也导致该漏洞波及范围较广。事实上,该WebDAV漏洞属于配置缺陷,于数年前就被曝光,但由于部分站长安全意识较为薄弱,所以该漏洞至今仍广泛存在。
   经360网站安全检测平台分析,攻击者的目标为使用IIS服务器并启用WebDAV的网站,主要攻击方式为以下四种:
1、直接上传文本格式木马文件;
2、修改网站原有文件(如CSS样式文件)实现挂马;
3、通过Move方法上传ASP格式的木马文件;
4、结合IIS6.0文件名解析漏洞,上传xxx.asp;aa.txt木马文件。

图1:使用Move命令可上传任意文件

图2:脚本执行成功,若上传的是木马文件则实现攻击
   鉴于WebDAV漏洞的广泛影响和可能对网站造成的致命危害,360网站安全检测平台已第一时间向旗下用户发送了告警邮件,强烈建议网站管理员禁用WebDAV功能,并定期使用360安全检测服务随时监控网站安全状态。

已经有 ( 0 ) 位网友对此发表了自己的看法,你也评一评吧! 此文不错,我要推荐-->    推 荐
欢迎参与讨论,请在这里发表您的看法、交流您的观点@禁止各种脚本

  • 点击Top
  • 推荐Top
  • 评论Top
更 多>>
本站采用Java语言开发,Spring框架,欢迎朋友们提意见。重新对页面进行布局,修改了程序,方便开源使用,由于本人美工真的不行 ,很少用背景图片,页面基本都用背景色...
主题:无色无味 | 网站地图|
Copyright (c) 2012-2013 www.shack2.org All Rights Reserved. | 空ICP备111111111号 | 程序设计: shack2 Powered by SJBlog v1.0 联系QQ:1341413415