首页 -> 安全研究

安全研究

安全漏洞
Super Site Searcher远程可执行任意命令漏洞

发布日期:2002-09-03
更新日期:2002-09-09

受影响系统:
Independent Solution Simple Site Searcher
Independent Solution Super Site Searcher
描述:
BUGTRAQ  ID: 5605

Super Site Searcher是一款基于Web的搜索引擎系统。

Super Site Searcher没有正确过滤用户提交的输入,远程攻击者可以利用这个漏洞以WEB权限在系统上执行任意命令。

Super Site Searcher中的site_searcher.cgi脚本没有充分过滤用户提交给查询参数的转义字符,通过提交包含如"|"SHELL转义字符的任意命令,可导致命令直接传递给SHELL以Web权限执行。

<*来源:luca.ercoli_ (luca.ercoli@inwind.it
  *>

测试方法:

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

luca.ercoli_ (luca.ercoli@inwind.it)提供了如下测试方法:

http://target/searchenginepath/site_searcher.cgi?page=|command|

建议:
临时解决方法:

如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:

* 修改程序,严格过滤用户提交的查询参数。
* 如果你无力修改查询,请暂时停止使用Super Site Searcher。

厂商补丁:

Independent Solution
--------------------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

http://www.supercgis.com/site_searcher/

浏览次数:2797
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障