Banner rotating 01 允许远程用户查看密码信息

涉及程序：
Banner rotating 01
 
描述：
Banner rotating 01 允许远程用户查看密码信息
 
详细：
"Banner rotating 01" 是一个很多网站都有使用的免费 CGI 脚本。由于安装时的默认设置，这个软件使用 DES 加密用户密码，其保存密码的文件为 adpassword.txt，这个文件的默认设置任何人都可以可读的。只要攻击者读取这个文件，并使用破解软件对这个文件进行密码破译，就可以取得里面所保存的密码，从而作进一步的破坏。

下例文件保存在ads目录

  index.html - 手册
  ads.setup - 你要改变的文件;
  ads.cgi - 显示正确广告的脚本;
  gotoad.cgi - 直接连接的脚本;
  admin.cgi - 广告管理器脚本;
  adcount.txt - 跟踪广告连接的脚本;
  adpassword.txt - administration script 的密码;
  01-03.jpg - 展示用的图片
  Advertiser.txt - 数据文件采样。

下例是默认安装的文件的属性设置
  ads.setup - 755
  ads.cgi - 755
  gotoad.cgi - 755
  admin.cgi - 755
  adcount.txt - 777

网管网www_bitscn_com

  adpassword.txt - 777

值得我们注意的是据漏洞发现者和我们调查：大多数的Banner rotating使用者对admin用户的初始密码都未改变过。

国外示范站点：
http://www.fellowshippark.com/ads/adpassword.txt
http://www.your-name-here.co.uk/ads/adpassword.txt
 
解决方案：
正确设置文件的访问权属性