影响版本:
Ver 3.1.0漏洞描述:
Yxbbs 是由Y网所开发的一套开源免费的社区论坛系统程序，采用asp+Access（SQL）的技术.
ViewFile.Asp中对filename参数没有进行验证和过滤处理，存在严重的安全问题
默认数据库是asa后缀，里面添加了 <% loop <% 的防下载代码，
Yxbbs论坛系统 3.1.0 filename参数任意文件下载漏洞及修复漏洞预警
。 直接访问这个数据库文件，会出现错误。导致任意文件下载漏洞对它无效，也就是说，无法下载asa后缀的数据库。
假如管理员更改了他的后缀,例如改成.mdb，这样是可以下载的，
电脑资料
《Yxbbs论坛系统 3.1.0 filename参数任意文件下载漏洞及修复漏洞预警》(https://www.unjs.com)。大家可以自己测试一下。<*参考http://www.t00ls.net
http://sebug.net/
*>
测试方法:
本站提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!
/Article/UploadFiles/201007/20100721103040248.jpg安全建议:
厂商补丁：
Yxbbs：http://www.yimxu.com/bbs/Show.Asp?ID=7388