墨者学院】uWSGI 漏洞复现（CVE-2018-7490）----web安全
训练地址首先我们看一下背景介绍-----uWSGI,很详细，了解一下目标是根据漏洞编号查找详情>>>>>>>>>>>>我们看题目给的很明显！进入靶场看一下：我们看到了uWSGI，再根据题目去查一下相关漏洞找到这个>>>>>>>>>>u...
·
首先我们看一下背景介绍-----uWSGI,很详细，了解一下
目标是根据漏洞编号查找详情>>>>>>>>>>>>我们看题目给的很明显！
进入靶场看一下：
我们看到了uWSGI，再根据题目去查一下相关漏洞
找到这个>>>>>>>>>>uWSGI
uWSGI是一款Web应用程序服务器，它实现了WSGI、uwsgi和http等协议。
uWSGI 2.0.17之前版本中存在路径遍历漏洞，
该漏洞源于程序没有正确的处理DOCUMENT_ROOT检测。
攻击者可通过发送带有‘..’序列的特制URL请求利用该漏洞查看系统上的任意文件。
重点有两个：
- 路径遍历漏洞
- 发送‘..’序列的url请求可查看任意文件
../是返回上层路径，测试后发现被过滤
so
用..%2f(多少无所谓，必须大于1)，获取key.txt
/..%2f..%2f..%2f..%2fkey.txt
魔乐社区（Modelers.cn) 是一个中立、公益的人工智能社区，提供人工智能工具、模型、数据的托管、展示与应用协同服务，为人工智能开发及爱好者搭建开放的学习交流平台。社区通过理事会方式运作，由全产业链共同建设、共同运营、共同享有，推动国产AI生态繁荣发展。
更多推荐
1
0- 0
已为社区贡献1条内容
所有评论(0)