php 禁止访问根目录某个文件_墨云 I 漏洞分析第七期—ProFTPD服务器任意文件拷贝漏洞分析（CVE201912815）...

最新推荐文章于 2024-06-23 21:55:05 发布
最新推荐文章于 2024-06-23 21:55:05 发布
阅读量541 收藏
点赞数 1
文章标签： php 禁止访问根目录某个文件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_35936248/article/details/113310841
版权
本文详细分析了ProFTPD服务器的越权访问漏洞（CVE-2019-12815），该漏洞允许匿名用户通过site cpfr和site cpto命令绕过权限限制，可能导致敏感信息泄露或磁盘空间被恶意填充。补丁已发布，建议及时更新。
摘要由CSDN通过智能技术生成

背   景

cb2fd816cf2dd558bf38dedcc4815fcb.gif

ProFTPD是一个开源的，跨平台的FTP服务软件，支持大多数类Unix系统和Windows，是Unix平台下最流行的FTP服务软件之一。很多Unix和Linux发行版本系统都预装了这个软件，除此之外，很多流行的商业软件和网站也都使用了ProFTP服务器。

ProFTPD近日爆出了一个越权访问漏洞，这个漏洞在某些条件下可以导致敏感信息泄露或者代码执行。这个漏洞的CVE编号是CVE-2019-12815。这个漏洞存在于proFTPD的mod_copy.c文件中。Mod_copy.c文件是个第三方模块，但是大部分的ProFTPD发行版本都默认启用了这个模块。这个模块提供了2个命令——site cpfr和site cpto ，用户使用这2个命令可以把ftp服务器上的文件从一个目录拷贝到另外一个目录。

漏洞重现 cb2fd816cf2dd558bf38dedcc4815fcb.gif

根据http://bugs.proftpd.org/show_bug.cgi?id=4372 漏洞报告，我们需要配置proftpd.conf文件内容，让proftp服务器开启anonymous访问。

如下图所

最低0.47元/天 解锁文章
香菜magic
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CVE-2019-14287 sudo提权（复现）
qq_46527139的博客
12-07 230
SUDO提权：CVE-2019-14287（复现） 漏洞概述 sudo错误地处理了某些用户id。攻击者可能利用此漏洞以根用户身份执行任意命令。 漏洞危害等级：高危 影响版本 组件 版本 os linux2019.3 web server sudo1.8.27 基础环境 基础知识： sudo的作用: Linux是多用户多任务的操作系统，共享该系统的用户往往不只一个。 出于安全性考虑，有必要通过useradd创建一些非root用户， 只让它们拥有 不完全的权限;如有必要，再来提升权限执
靶机渗透练习57-digitalworld.local：JOY
hirak0的博客
04-19 3989
靶机描述 靶机地址：https://www.vulnhub.com/entry/digitalworldlocal-joy,298/ Description Does penetration testing spark joy? If it does, this machine is for you. This machine is full of services, full of fun, but how many ways are there to align the stars? Perhaps
php 禁止访问根目录某个文件_每日学点2---PHP文件访问时提示http 404错误
weixin_34861332的博客
01-20 237
刚安装好nginx+php服务后，测试phpinfo页是否显示正确，却提示http 404错误nginx的错误提示如下：2019/08/14 11:25:27 [error] 119533#0: *6 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, clien...
cve-2015-3306-proftpd-vulfocus
最新发布
c0529的博客
06-23 446
proftp是用于搭建基于ftp协议的应用软件ProFTPD是ProFTPD团队的一套开源的FTP服务器软件。该软件具有可配置性强、安全、稳定等特点。ProFTPD 1.3.5中的mod_copy模块允许远程攻击者通过站点cpfr和site cpto命令读取和写入任意文件。任何未经身份验证的客户端都可以利用这些命令将文件从文件系统的任何部分复制到选定的目标。复制命令使用ProFTPD服务的权限执行，默认情况下，该服务在“nobody”用户的权限下运行。
proftpd的mod_copy模块未授权调用利用记录
HRay's blog
06-15 1368
文章来源自《安全参考》第30期，略有改动 影响版本： proftpd-1.3.4－－－proftpd-1.3.5 1.执行命令 nc x.x.x.x 21 2.执行site cpfr /etc/passwd可以未授权状态复制文件 3.执行site cpto /tmp/test可将之前复制的/etc/passwd粘贴到/tmp/test 高级用法： s
cve-2015-3306复现
Yale的博客
04-02 3273
Cve-2015-3306 背景： ProFTPD 1.3.5中的mod_copy模块允许远程攻击者通过站点cpfr和site cpto命令读取和写入任意文件。 任何未经身份验证的客户端都可以利用这些命令将文件从文件系统的任何部分复制到选定的目标。 复制命令使用ProFTPD服务的权限执行，默认情况下，该服务在“nobody”用户的权限下运行。 通过使用/ proc / self / cmdlin...
FTP.rar_FTP服务器_FTP服务器程序_ftp server service_ftp 服务器_ftp文件服务器
09-22
FTP文件服务器则强调了其主要功能是存储和分发文件，用户可以使用FTP客户端来访问这些文件。 在描述中提到的功能： 1. **登录FTP服务器**：用户通过FTP客户端输入服务器地址、用户名和密码，建立安全的连接。FTP...
FTP协议编程.rar_FTP 下载_ftp协议_文件服务器
09-23
文件服务器是一种提供文件存储和访问服务的系统。常见的开源文件服务器软件有vsftpd、ProFTPD等。在设置文件服务器时，需要配置防火墙规则、认证机制、权限控制以及日志记录等，以确保安全性和可用性。 标签中提到...
FTP.rar_ FTP_ftp 上传图片_ftp-c_ftp.zip_服务器
09-24
在这个名为"FTP.rar_ FTP_ftp 上传图片_ftp-c_ftp.zip_服务器"的压缩包文件中，显然包含了与Linux系统下FTP服务器搭建和图片上传相关的资源。让我们详细探讨一下这个主题。 首先，FTP服务器是基于TCP/IP协议族的，...
cpx_proftpd:漏洞利用工具 CVE-2015-3306
06-11
cpx_proftpd Daniel Aldana 针对漏洞利用的 PoC。 Vadim Melihow 报告的错误。 ###方法1： 用法： python cpx_proftp.py <IP> <REMOTE> 前任： python cpx_proftp.py 127.0.0.1 /etc/passwd /var/...
ftp_src.rar_ftp linux_linux ftp_linuxsrcftp_site:www.pudn.com_非可
09-14
标题中的“ftp_src.rar”表明这是一个关于FTP服务器源代码的压缩包，可能包含了在Linux操作系统上实现FTP服务的源代码。"ftp linux"暗示我们将会探讨如何在Linux环境下搭建和管理FTP服务。"linux ftp_linuxsrcftp...
php 禁止直接访问,禁止直接访问php文件代码分享
weixin_35651471的博客
03-09 523
禁止直接访问php文件代码分享如何禁止别人直接访问php文件可以通过判断某一个常量是否被定义或定义的值是否相同，如果未被定义或值不相同则停止脚本运行。defined('IS_ALLOW') or die('禁止访问！');访问结果：禁止访问！如果需要在其它php文件中进行引用，可以先将常量定义后在进行引用。A-jb51.phpdefined('IS_ALLOW') or die('禁止');ech...
php根目录无法访问,php访问根目录有问题？
weixin_42553588的博客
03-29 700
我用的系统是CentOS，网站根目录是/var/www/html，根目录放有head.inc.php，当我在index.php里require('head.inc.php')时一切正常，require('./head.inc.php')时也正常，就是require('/head.inc.php')时候发现failed to open stream: No such file or director...
CVE-2019-5786 漏洞原理分析及利用
晓得哥的博客
07-02 1558
CVE-2019-5786 漏洞原理分析及利用 作者：Kerne7@知道创宇404实验室 时间：2020年6月29日 从补丁发现漏洞本质 首先根据谷歌博客收集相关CVE-2019-5786漏洞的资料：High CVE-2019-5786: Use-after-free in FileReader，得知是FileReader上的UAF漏洞。 然后查看https://github.com/chromium/chromium/commit/ba9748e78ec7e9c0d594e7edf7b2c07ea2a90
漏洞原理CVE-2019-0808内核利用分析
anquanniu的博客
05-21 2727
漏洞概述 CVE-2019-0808是微软在2019年3月修补的内核漏洞，该漏洞只影响Windows 7和Windows Server 2008，漏洞允许攻击者提升权限并在内核模式下执行任意代码。在谷歌威胁分析团队的报告中发现该漏洞用于进行Chrome沙箱逃逸，和CVE-2019-5786 Chrome 远程代码执行漏洞配合使用。 补丁分析 通过对Win7上3月份的补丁进行对比可以知道问题出现在x...
php 禁止直接访问目录_php – 防止网站某些目录被直接访问的最佳方法是什么？...
weixin_35765686的博客
03-09 1012
如评论中所述,最安全的方法是将内容或目录放在Web服务器的公共文档根目录之外.这将确保即使删除.htaccess文件或服务器不允许.htaccess覆盖也不会提供内容.要确定您的文档根目录,您只需回显PHP $_SERVER [‘DOCUMENT_ROOT’]变量.因此,如果您的根是/ var / www / html,您可以创建一个文件夹/ var / www / protected_folde...
禁止访问php框架模板文件下载,防止别人通过路径查看你的模板文件方法汇总apache篇...
weixin_33502400的博客
03-29 355
很多时候我们写完代码只关心功能的问题，却忽略一些细节的小问题，今天我给大家分享一个禁止用户直接访问模板的问题一般普通用户是不会做这种事情的，但万一别个也是做程序的人，就有可能知道你模板路径的情况下直接访问你的模板，例如：后台的这样一个模块别人就可以通过http://你的域名/theme/backend/menu/index.html 而查看你的模板文件，不须要任何验证，然后像查看普通html源码那...
再谈cve-2019-0708漏洞最新事情，更新poc及个人说明
Summer's blog
05-13 7504
距离CVE-2019-0708漏洞出现的了有一段时间了，在此期间poc都更新了几个版本。有人也来问过我具体这个漏洞怎么利用、实现。我在篇文章里面会有统一的回答一下我的见解，希望的大佬们不要喷，以下纯属与个人看法。理解不对希望可以指出。 第一，我觉得这个是新爆出的巨大的微软系统漏洞，exp一下是不可能出现的，最近国家在网络上也有些行动的。我建议大家不要这么心急，去想着怎么利用这个漏洞。目前我...
修改proftpd.conf配置文件，增加一个账户登录
05-31
1. 打开proftpd.conf配置文件，通常在/etc/proftpd/proftpd.conf中。 2. 在文件末尾添加以下内容： ``` # 添加账户 <IfModule mod_auth_file.c> AuthUserFile /etc/proftpd/ftpd.passwd AuthGroupFile /etc/...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值