Srun3000 /download.php 任意文件下载漏洞

深澜Srun3000 一处未经验证的任意下载漏洞下载路径可以用绝对路径，也可以用相对路径 <p>影响版本 : 版本号小于等于 srun3000 3.00rc14.17.5 的(更高的版本还未测试测过)<br></p><p>url:8081/download.php 1~16行，未经验证允许文件下载造成任意文件下载漏洞。用户只需提交目标文件名和 加盐过的&nbsp;MD5 值就可以进行下载。</p><p>&lt;?php</p><p>$key="ijfri&amp;8%4";</p><p>$file=$_GET["file"];</p><p>if($_GET['k'] != md5($file.$key))</p><p>exit;</p><p>if(file_exists($file))&nbsp;</p><p>{</p><p>&nbsp; $this_base_file = basename($file);</p><p>header("Content-type:application/octet-stream");</p><p>header("Accept-Ranges: bytes");</p><p>header("Accept-Length: ".filesize($file));</p><p>header("Content-Disposition: attachment; filename=\"".$this_base_file."\"");</p><p>readfile($file);</p><p>}</p><p>?&gt;</p><p>下载 /srun3/etc/srun.conf 获得&nbsp;root_pass，管理员密码的哈希值，然后结合 login.php 69~71 行</p><p>$array = parse_ini_file("/srun3/etc/srun.conf");</p><p>if(trim($_POST["uname"])=="admin" &amp;&amp; trim($_POST["pass"])==$array["root_pass"])</p><p>{</p><p>$_SESSION["LOGIN"]="OK";<br></p><p>}</p><p>用 burp 抓包，改包即可登录后台。</p><p><img alt="深度截图20150904140945.png" src="https://images.seebug.org/contribute/41b2e46f-3d32-4ddb-883c-2a32bd0bde25-深度截图20150904140945.png" data-image-size="1000,700"><br></p>