发布日期：2003-01-10
更新日期：2003-01-15

受影响系统：

BRS WebWeaver 1.01

描述：

---

BUGTRAQ  ID: 6576

BRS WebWeaver是一款集成小型快速的HTTP和FTP服务程序，提供目录保护功能，适用于Windows 9x/NT操作系统。

BRS WebWeaver的FTP服务程序在建立目录时如果目录已经存在，会返回错误信息，远程攻击者可以利用这个漏洞获得FTP ROOT路径信息。

攻击者在进行mkdir命令操作时，如果建立的目录名在系统中已经存在，WebWeaver就会返回包含FTP ROOT路径信息的错误信息。利用这个信息可对系统进一步进行攻击。

<*来源：euronymous （just-a-user@yandex.ru）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=104221983631308&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

euronymous （just-a-user@yandex.ru）提供了如下测试方法：

mkdir ..\windows

如果系统原来存在windows目录，就会返回如下错误信息：

====================================================
550 'c:\ftp_dir\..\windows': can't create directory.
====================================================

建议：

---

厂商补丁：

BRS
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.bsoutham.org/WebWeaver/

浏览次数：2774
严重程度：0（网友投票）