BBSGood论坛程序moprepost.asp 变量HTTP_X_FORWARDED_FOR注入漏洞
来源：SEBUG 发布时间：2010-07-02 13:25:00
影响版本:
BBSGood 5.0/5.0.2漏洞描述:
BBSGOOD是国内首创使用缓存技术的论坛，BBSGOOD的帖子和列表首页是可以生成静态HTML文件的。在文件moprepost.asp中：if Request.ServerVariables("HTTP_X_FORWARDED_FOR")="" then ipdress=Request.ServerVariables("REMOTE_ADDR") else ipdress=Request.ServerVariables("HTTP_X_FORWARDED_FOR") end if //第351行……sql="insert into LxTel_Topic (BoardID,Ftbq,TitleColor,Subject,Text,PostUser,PostTime,RePostNum,RePostUser,IP,CreateHtml,FileName,LastPostTime,LastPostUser,BuyPostType,BuyNum,BuyExplanation,BuyUser,IsBest,FilePageNum,Hits,IsTop,Admin,IsDel,ZT,GG,CommTrue,BoldFace,postsh,myfiles) values " sql=sql+"("&BoardID&",'"&Ftbq&"','"&TitleColor&"','"&Server.HTMLEncode(titlename)&"','"&nl&"','"&UserName&"','"&PostTime&"',0,'"&UserName&"','"&ipdress&"',"&IsCreateHtml&",'"&FileName&"','"&PostTime&"','"&UserName&"',"&BuyPostType&","&BuyNum&",'"&BuyExplanation&"','"&UserName&"',0,0,0,0,0,0,0,0,0,"&BoldFace&","&shzt&",0)" //第380行 conn.execute(sql)环境变量HTTP_X_FORWARDED_FOR本地修改并提交，程序没有对放入sql语句中的该变量做过滤导致注入漏洞的产生。<*参考
http://www.bbsgood.com/
http://www.wavdb.com/
*> SEBUG安全建议:
厂商补丁：BBSGood.Speed-------目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：http://www.bbsgood.com/
0
投稿猜你喜欢
- 目前的视频网站，无疑站在一个十字路口。一方面是视频受众群体的增长，视频内容的不断扩充。另一方面是尚未明晰的政策，版权的重压。在尚未盈利，即将
- 每个站长在建站之初，都很明确自己网站的定位及网站的目标客户群，那么，在具体的推广工作中，我们该如何寻找自己的目标客户，以便更有针对性的推广自
- 博客广告的策略基本有两种形式：定向传播策略与交互传播策略。根据商业博客的不同特点，文案的写作要求也有所不同。一、定向传播的广告策略和文案写作
- 在各群里发觉很多朋友都在抱怨网站不盈利和没流量的的情况,就随手写了一些本人做站几年经验和见解.希望对您有所帮助呵一 不要太漂(浮躁)大部分新
写在前面：以下步骤中需要在终端输入命令，电脑端查看博客的朋友可以直接复制粘贴到终端，手机端查看的朋友请注意命令里面的空格是必须的，否则运行会- WEB服务器常有情况发生,以下给出三种最常见情况的解决方法防ACCESS数据库下载添加MDB的扩展映射就可以了。方法：IIS属性，主目录，配
- 在网上查询了一下还没有人分享linux主机如何通过.htaccess文件同时实现301重定向和伪静态的，为帮助朋友少走弯路，特以把经验分享一
- 核心提示：在当前网络求职者普遍缺乏职业素质的情况下，招聘网站却只是向用人单位单向收费。随着用人单位的总招聘成本越来越高而效率越来越低，在招聘
- 昨天看到有朋友说用tar包安装的vsftp不能用本地用户登录，感觉十分诧异。但自己也仅做过rpm的，所以没有发言权。今天在自己机器上用tar
- 库文件在连接(静态库和共享库)和运行(仅限于使用共享库的程序)时被使用，其搜索路径是在系统中进行设置的。一般 Linux 系统把 /lib
- 下面有两种办法可以安装yum：一、下载yum的rpm包直接安装http://centos.ustc.edu.cn/centos/5.4/os
- 在比较复杂的网络环境中，用户需要通过不同的网关访问不同的网络服务器，比如笔记本电脑用户在家时使用ADSL，在单位使用局域网时就需要切换不同的
- 在操作SEO项目的过程中，不要做这些事情。如果做了这些事，你的网站就会被搜索引擎认定为垃圾网站，无法被搜索到。而一旦被认定为垃圾网站，要想恢
- 1.安装vsftpd服务器vsftpd是目前Linux最好的FTP服务器工具之一，其中的vs就是“Very Secure”(很安全)的缩写，
- 目前，随着商家对网上销售的重视程度和消费者网上购物的接受程度的不断提高，网上购物市场正逐渐成为国内社会消费品零售市场中不可小视的力量，传统行
- 昨天写项目时需要用到Mysql的衍生版本percona, 就想用Doker来安装.结果踩了一晚上坑, 今早终于解决. 现记录在此.这个坑原因
- 1、创建新的FTP站点执行[开始]→[程序]→[管理工具]→[Internet服务器管理器]命令，打开“Internet信息服务”对话框。用
- 博客程序从Z-blog到WordPress的转换过程全纪录：1.前期准备网站未做，空间先找。我曾考虑过国外主机，由于有被墙的风险，访问速度也
- NFS是网络文件系统（Network File System）的简称，是分布式计算系统的一个组成部分，可实现在异种网络上共享和装配远程文件系
- 如果你已经购买了一款服务器，但仍然觉得其“动力”不够强劲，不妨试试下面列出的几个办法，许多情况下，它们往往能够起到事半功倍的效果。1.增加内
