机窝安全--watchguard_firefox550e爆露配置目录及文件漏洞

1．默认登录首页(需开管理机ACL策略)： [出自:jiwo.org]

http://192.168.0.35:8080/login.xml

然后查看源码，发现：


	login.xsl"?>

	id="admin"/>
	id="status" default="true"/>

2．继续访问http://192.168.0.35:8080/login.xsl，如下：

xmlns:xsl="http://www.w3.org/1999/XSL/Transform" version="1.0">

method="html" encoding="iso-8859-1" doctype-public="-//W3C//DTD XHTML 1.0 Transitional//EN" doctype-system="http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"/>

href="form.xsl"/>

match="/">

name="property" select="document('conf/con_webs.xml')"/>

name="lang" select="$property//lang"/>

name="root" select="$property//root"/>

name="mode" select="$property//mode"/>

name="default" select="$property//default"/>

name="version" select="$property//version"/>

name="sys" select="$property//sys"/>

name="action" select="document(concat($root, 'conf/con_login.xml'))"/>

发现有conf目录，直接访问conf目录，假隐藏。

直接访问文件，如http://192.168.0.35:8080/conf/con_webs.xml

发现部分配置:

继而可推或扫其它。。。

评论

发表评论


顶	踩