涉及程序：
Lysias Lidik Webserver
描述：
Lysias Lidik Webserver 目录遍历漏洞
详细：
Lysias Lidik Webserver是一款非常小的web服务器程序（安装文件大约为700 KB）。
Lysias Lidik Webserver虽然小，但是它提供各种特征功能，像加密套接字协议层支持（SSL-Support），并且能够区分显示的"not allowed requests"和普通的请求，看上去是一个安全的webserver，因此比较受欢迎。
但不幸的是它存在一个目录遍历漏洞，当攻击者尝试着输入非法请求http://localhost/../时，Lysias Lidik Webserver不会响应，"not allowed requests"的数目会加一，但是如果攻击者输入非法请求http://localhost////./../.../时，Lysias Lidik Webserver就会突然响应。
如果服务器设置了root，那么几乎在同一磁盘下的所有文件都能被下载，包括密码文件或其它敏感信息。
需要说明的是，如果在目录中输入空格符在此似乎不能达到攻击目的（在浏览器中以%20表示空格符）。
EXPLOIT
如果webserver正在本地主机上运行的话，只要在地址栏中输入http://localhost/.../即可达到攻击目的。
受影响程序: Lysias Lidik Webserver 0.7b
网管联盟bitsCN@com 具体操作系统: Windows
漏洞类型: 远程
解决方案：
因为Lysias Lidik Webserver只存在固定目录遍历攻击(/../)的保护作用，所以应该扩展目录遍历攻击的保护功能，即使输入三个点或更多的点也不起作用。
评论加载中…
