<font face=\"宋体\" size=\"2\"><font face=\"宋体\" size=\"2\">
最近网上到处流传一个flash动画-“NB文章系统漏洞演示”,由华夏黑客同盟之“劲力狂舞”创作。本来看到这种喧哗取闹的事情,我们都是一笑了之--因为这个所谓的漏洞,只不过是他个人的使用方法错误而引起--但后来网络上慢慢的开始流传开来,从而使不少的朋友产生了疑问(所谓众口铄金啊。。hoho)
后来我们对于这种疑问都开始感到不胜奇烦,因此特在此做一些声明。
该所谓“漏洞”,是先登陆服务器上的A目录下的管理后台,然后直接在ie地址栏上输入B目录下的管理后台的管理地址,从而造成一个可以跨站点管理的漏洞假象。可惜,测试者没有认真看过我们的使用说明(唉,不懂装懂就是如此。。。。。hohoohohho)
现做以下几点剖析:
1)因为NB文章系统使用了缓存技术,因此每个系统都有自己的一个特定的SN号,每次系统第一次运行时都通过setup.asp进行SN号的重置,从而使一台服务器上不出现有两个系统使用同一个SN号的情况。由于该测试者在使用一台服务器上使用多个文章系统时,没有每个系统使用前都运行setup.asp文件进行配置。而只是单纯的复制目录,所以两个系统的SN号都是一样的。结果就造成A目录的系统先运行,由此产生了一个名为[A系统的SN号]+SysCon的app对象,并且该对象存放的是A目录使用的数据库路径。然后再访问B系统,由于B系统的SN号和A系统的一致,因此B系统也使用了[A系统的SN号]+SysCon的app对象。结果就造成了可以登陆后台的所谓“漏洞”了。hohoho。。。。。其实只要该测试者分别在两个系统多测试一下就知道了,因为数据居然是一样的。因为他实际上是使用B系统的文件来管理A系统的数据,哇哈哈。。。
其实如果测试者在一台服务器上使用多个NB文章系统的时候,在使用之前都分别运行一次setup.asp进行系统配置,这样SN号不一致,也就不会出现这样的大笑话了。因为sn号不一致,也就不会出现B系统读A系统的数据库,这样也就没有所谓的漏洞了。^_^。。。
2)这时候,可能有朋友会更有疑问了。说:如果有别人知道我现在的SN号,然后在同一个服务器上传一个SN号和我一致的NB文章系统的后台,那我的数据企不危险了?
答案是:这是不可能的。因为每次后台文件访问请求的时候,都会检测管理员帐号及登陆标记,如果没有管理员帐号,这就不行了。就算有管理员帐号,他没有登陆标记也不行。因为每次登陆,标记都会重置。因此,这是不可能任务。。。。。
好了,写了这么多,朋友们慢慢消化吧,我要工作了。88
by eason007
04-09-20
[
点击查看详细]
分享到:
相关推荐
ASP+MSSQL的完美结合。本系统不同于市面上的所谓MSSQL 版本只是单纯的把数据库形式由ACCESS转为MSSQL,而是在程序中大量的时候存储过程、触发器,从而能够最大程度的发挥 MSSQL的海量数据处理能力。
NB文章系统是由原NB联盟一部分成员经过几年的开发经验积累而成的一个高效、简洁、安全的文章系统,无任何多余累赘的功能;高效的页面执行效率,特别优化系统安全性能,可令你在茫茫网海中一支独秀。 请先访问...
ASP实例开发源码—NB文章系统(NB Article) v4.00 Beta1.zip ASP实例开发源码—NB文章系统(NB Article) v4.00 Beta1.zip ASP实例开发源码—NB文章系统(NB Article) v4.00 Beta1.zip
ASP源码—NB文章系统(NB Article) v4.00 Beta1.zip
基于ASP的NB文章系统(NB Article) v4.00 Beta1.zip
2、企业版后台文章管理中查看当日文章错误 3、发布文章时对关键字的长度判断错误 4、编辑投票后前台查看及投票均出错 5、编辑“会员列表”及“图片列表”页模版,提交后出错 6、调整模版头部,以实现utf-8模式下...
NB组织开发的网站程序,安全方面没得说,可操作性强
基于NB-IoT的生猪养殖环境监控系统设计.pdf 基于NB-IoT的生猪养殖环境监控系统设计.pdf 基于NB-IoT的生猪养殖环境监控系统设计.pdf 基于NB-IoT的生猪养殖环境监控系统设计.pdf 基于NB-IoT的生猪养殖环境监控系统设计...
改进及新特性: 1、调整模版编辑时的流程及提示语言 2、新增sitemaps生成功能 3、优化评论页面的显示格式 BUG修正: 1、getarticlelist标签对于现有参数提示错误 2、企业版后台文章管理中查看当日文章错误 3、发布文章...
描述NB-IoT系统的现状和未来发展前景,为读者指明方向。 物联网应用发展已经超过 10 年,但采用的大多是针对特定行业或非标准化的解决方案,存在可靠性低,安全性差,操作维护成本高等缺点。基于多年的业界实践可以...
谷雨NBIoT10x的说明书,详细介绍了NB模块的使用。 这个资料其实是淘宝上提供的,上传到这里只是为了有个链接。如果不想花积分可以去淘宝搜NB模块然后下载资料。
基于NB-IoT的家居环境监控系统设计.pdf
光伏发电功率预测系统功能规范,国家能源局 发 布,2016-06-01实施,NB/T 32031-2016
NB-IOT智慧停车系统解决方案
内容概要:通过带着读者基于 B/S 架构的服务器软件解决方案,着重设计了包括系统管理、设备管理、合同管理和系统监控四大功能的服务器软件。采用 Java Web 技术实现了各个功能页面,在系统管理中,论文着重解决了...
NB asp动态网页模板管理系统,完整的NB系统包括说明文档各个标签说明文档
nb-iot模块,NB73或者NB75,用于与单片机等智能CPU开发
基于NB-IoT的环境温湿度监测系统设计.docx基于NB-IoT的环境温湿度监测系统设计.docx基于NB-IoT的环境温湿度监测系统设计.docx基于NB-IoT的环境温湿度监测系统设计.docx基于NB-IoT的环境温湿度监测系统设计.docx基于...
基于窄带物联网(NB-IoT)的道路照明智能控制系统技术规范.pdf