北京科码先锋某站疏忽可提权及渗透（中粮我买 躺枪）

本想检测中粮我买的c段，结果发现中粮我买的网站开发商的禅道系统也在里面

问题出在http://118.144.75.82/ 禅道系统

admin/123456
 

成功拿到shell
 

那么我们怎么证明和中粮我买有关系呢，看下面几张图
 

从上面可以看到COFCO字样，我们便知道其中的关系了。

另外还可以通过http://www.co-mall.com/cases.html 得到证实

由此中粮我买的部分源码应该不难得到了吧。
 

至于提权和渗透问题见下图

还需要进一步证明吗？

修复方案：

修改禅道用户及数据库默认密码。

对服务器权限进行限制。