奥运蹲坑任务开始了!!!!

第一次评估，

发现后台弱口令、上传任意文件到任意目录。

站内搜索的目录遍历漏洞。

之后他们自己加固了一次，修复了上面的漏洞。

第二次评估，

鉴于他们已经做过加固，所以上面的一些漏洞已经修复。

查询了一下他们的子站。

有个XXXXX的子域名，一看就知道是用于测试的。

不过没有连接数据库所以测试网站的后台是没法登录的。

意外的收获是管理员自己写了一个目录浏览的页面-=

查看xxxx子域名的目录结构，和主站的基本上一致。

尝试访问了一下之

在同一个地方失败两次,应该反省一下了.

首先看这个连接：

http://images.google.cn/imgres?imgurl=http://www.telecomsec.org.cn/images/telecomsec2007/spon-DBAPPSecurit