深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

admin 2015年5月1日13:46:29评论329 views字数 259阅读0分51秒阅读模式
摘要

2014-07-17: 细节已通知厂商并且等待厂商处理中
2014-07-20: 厂商已经确认,细节仅向厂商公开
2014-07-23: 细节向第三方安全合作伙伴开放(绿盟科技、唐朝安全巡航、无声信息)
2014-09-13: 细节向核心白帽子及相关领域专家公开
2014-09-23: 细节向普通白帽子公开
2014-10-03: 细节向实习白帽子公开
2014-10-13: 细节向公众公开

漏洞概要 关注数(19) 关注此漏洞

缺陷编号: WooYun-2014-68621

漏洞标题: 深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞 深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

相关厂商: 国家互联网应急中心

漏洞作者: U神

提交时间: 2014-07-17 21:58

公开时间: 2014-10-13 22:00

漏洞类型: 文件上传导致任意代码执行

危害等级: 高

自评Rank: 20

漏洞状态: 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源:www.wooyun.org ,如有疑问或需要帮助请联系

Tags标签: 任意文件上传 任意文件上传

3人收藏


漏洞详情

披露状态:

2014-07-17: 细节已通知厂商并且等待厂商处理中
2014-07-20: 厂商已经确认,细节仅向厂商公开
2014-07-23: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-09-13: 细节向核心白帽子及相关领域专家公开
2014-09-23: 细节向普通白帽子公开
2014-10-03: 细节向实习白帽子公开
2014-10-13: 细节向公众公开

简要描述:

希望乌云君交给国家互联网应急中心联系厂商修复漏洞!先膜拜U大牛,格式按照U大牛的来,走首页应该很合理了吧?

详细说明:

深圳市商科网络科技有限公司【http://**.**.**.**/】,是一家致力于品牌网站建设,优化推广,400电话,企业邮箱、网站应用程序开发(B/S)等互联网领先服务商。简单的来说该公司开发的一套系统虽然没有什么名字这里就以“深圳互联系统”来命名,该系统主要用于深圳市各大企业公司网站的建设,该系统存在注射漏洞和未授权的任意文件上次漏洞,可能造成极大的危害,如何识别为深圳互联系统,我们看看后台的风格:

输入admin可到下面后台:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

官网成功案例:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

该系统的url特征比较普遍,所以构造关键字比较难:

code 区域
"网站制作:商科网络"
inurl:“products.asp?classid” intitle:深圳

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

第二个关键字搜索的大多是深圳互联系统,部分非互联系统,更好认证为该系统的方法只要在域名后加上:/admin。则会跳转到后台,如果后台页面风格与上面所提到的一样则可断定为深圳互联系统

漏洞证明:

【警告:以下所提到的漏洞杀伤力极强,仅供CNVD测试与漏洞报告,其它人不得用此漏洞进行恶意破坏或利用,否则后果自负!】

一、SQL注射漏洞:

code 区域
注射漏洞1:/productlist.asp?ID=  注入参数ID <部分没有该页面>
注射漏洞2:/admin/Employee/Login.asp <登录框Post注射,通杀注射>

*********************************************************************************************

SQL注射一、证明【该系统部分装有安全狗】:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

测试跑跑吧:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

*********************************************************************************************

SQL注射二证明:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

*********************************************************************************************

二、GETSHELL漏洞:

code 区域
if filelx<>"" then
if (fileext="asp") or (fileext="jsp") or (fileext="jspx") or (fileext="php") or (fileext="exe") or (fileext="inc") or (fileext="js") or (fileext="htm") or (fileext="html") then

多个未授权访问的上传页面:

code 区域
根目录、cn目录、en目录下都有
PIC/upload_flash.asp?formname=Userform&editname=ProductPicc&uppath=&picclass=Product&picSize=200&filelx=asa
PIC/upfile_flash1.asp?formname=Userform&editname=ProductPic&uppath=PIC&picclass=Product&picSize=200&filelx=asa
PIC/upload.asp?formname=Userform&editname=ProductPic&uppath=PIC&picclass=Product&picSize=200&filelx=asa

根据分析代码发现这个缺少判断若为asa、cer等文件呢?这里提供两种方法突破后缀名的方法。可以构造参数巧妙突破上传:

【注意先访问jpg的,例如:PIC/upload_flash.asp?formname=Userform&editname=ProductPicc&uppath=&picclass=Product&picSize=200&filelx=jpg,然后再将jpg改成asa,不需要回车,然后再上传asa,否则无法上传成功】

以第一个为实例测试:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

源代码返回文件名:

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

*********************************************************************************************

三、高危弱口令漏洞

该CMS的根目录、cn目录或en目录下存在一个Ewebeditor编辑器,使用了默认弱口令可导致修改上传文件类型而GETSHELL。编辑器的目录位于以下:

code 区域
admin/eWebEditorforASP/admin/login.asp
cn/admin/eWebEditorforASP/admin/login.asp
en/admin/eWebEditorforASP/admin/login.asp[有英文版的系统才有该目录]

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

Ewebeditor怎么利用我就不说多了吧,大家都知道的!

*********************************************************************************************

四、默认数据库:

code 区域
DataBase/shop.mdb
cn/DataBase/shop.mdb
en/DataBase/shop.mdb

深圳互联系统存在任意文件上传+SQL注射+弱口令+数据库可被下载漏洞

修复方案:

不多说了,注射漏洞有一些装了安全狗,建议CNVD测试的时候官网有案例,以上均不深入咯!其次说一下通报漏洞的联系方式:

code 区域
官网:http://**.**.**.**/
技术支持邮箱:support@**.**.**.** 投诉建议邮箱:feedback@**.**.**.**
热线:+86-755-36959568 / 36959569
服务投诉:400-0755-469

版权声明:转载请注明来源 U神@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-07-20 12:16

厂商回复:

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分


评价

  1. 2014-07-15 22:08 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:54 | 故乡的原风景.MP3)

    0

    @U神

  2. 2014-07-15 22:33 | U神 ( 核心白帽子 | Rank:1375 漏洞数:94 | 乌云核心菜鸟,此号处于联盟托管中....)

    0

    @袋鼠妈妈 膜拜大黑阔

  3. 2014-07-15 22:42 | ( 普通白帽子 | Rank:1218 漏洞数:105 | 传闻中魇是一个惊世奇男子, 但是除了他华...)

    0

    看着别人的审核过了,自己还在待审核真是悲哀..

  4. 2014-07-16 12:03 | 泳少 ( 普通白帽子 | Rank:257 漏洞数:82 | ★ 梦想这条路踏上了,跪着也要...)

    0

    @U神 是你的还是你。。

  5. 2014-07-16 12:18 | U神 ( 核心白帽子 | Rank:1375 漏洞数:94 | 乌云核心菜鸟,此号处于联盟托管中....)

    0

    @泳少 请不要撸管!谢谢

  6. 2014-07-16 12:24 | 泳少 ( 普通白帽子 | Rank:257 漏洞数:82 | ★ 梦想这条路踏上了,跪着也要...)

    0

    @U神 你已经被揭露了

  7. 2014-07-16 13:00 | 泳少 ( 普通白帽子 | Rank:257 漏洞数:82 | ★ 梦想这条路踏上了,跪着也要...)

    0

    @U神 谁让你在撸管。。哼

  8. 2014-09-11 18:04 | 逗比 ( 路人 | Rank:20 漏洞数:5 | w(゚Д゚)w)

    0

    U神,你又在撸了

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin