安全研究

安全漏洞
Ikonboard ikonboard.cgi远程SQL注入漏洞

发布日期:2004-12-15
更新日期:2004-12-17

受影响系统:
Ikonboard.com ikonboard 3.1.3
Ikonboard.com ikonboard 3.1.2
Ikonboard.com ikonboard 3.1.1
Ikonboard.com ikonboard 3.1.0
描述:
CVE(CAN) ID: CVE-2004-1406

Ikonboard是一款基于WEB的BBS程序。

Ikonboard对用户提交的参数缺少充分过滤,远程攻击者可以利用这个漏洞进行SQL注入攻击,可能获得敏感信息。

"ikonboard.cgi" 对"st"和"keywords"参数缺少充分过滤,提交包含恶意SQL命令的数据作为参数,可更改原来的SQL逻辑,可能获得敏感信息或修改数据库。

<*来源:Alexander Anisimov (anisimov@ptsecurity.com
  
  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=110321654705580&w=2
*>

测试方法:

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

Alexander Anisimov (anisimov@ptsecurity.com)提供了如下测试方法:

http://host/support/ikonboard.cgi?act=ST&f=27&t=13066&hl=nickname&st=1'

http://host/support/ikonboard.cgi?act=Search&CODE=01&keywords='&type=name&forums=all&search_in=all&prune=0

建议:
厂商补丁:

Ikonboard.com
-------------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

http://www.ikonboard.com

浏览次数:3300
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障