FBLOG是一套博客程序！但是作者在cookie处理上没做好，使得使用这套程序的服务器陷入危机！
漏洞出现在cookie验证上，由于文件比较多，这里只对后台登陆的地方做分析！程序版本是“F-BLOG v3.0 beta1”
在"admin_index.asp"文件中的代码如下：
……
<%
If request.cookies("loginID")="" Then
response.redirect "admin_login.asp"
end if
%>
……
可以看到这里只要cookie中loginID的值不为空就可以登陆成功！利用起来也很简单，使用老兵的cookie修改浏览器 在修改cookie的地方 给loginID指定一个值 如“loginID=1” 然后在地址里直接输入后台地址“admin/admin_index.asp” 点击连接就可以直接登陆后台 如图
这里是测试官方网站的截图
已经联系作者 漏洞已经修补 主站就不要测试了
F-BLOG v3.0 beta1是在才发布的所以使用的人群本不是很多 不过II使用的用户还是不少的 可以在百度中搜索“Powered by F-BLOG” 然后使用老兵的cookie修改工具就可以进入后台！
不过3.0以前的版本cookie是不一样的 不过还是有漏洞 只要把
“f%2Dblogcookies%5Fpower=1; f%2Dblogcookies%5Fcookie=itss”放到修改cookie的地方把itss改成管理员的用户名（要是汉字的话 转换成十进制） 在访问后台地址"admin_main.asp"就可以登陆成功！如图
[组图]FBLOG博客程序漏洞
您现在的位置：