某通用型电子采购平台从某处目录遍历到任意文件上传GetShell

2015年5月30日23:36:57评论293 views字数 262阅读0分52秒阅读模式

摘要

2014-08-25：细节已通知厂商并且等待厂商处理中
2014-08-28：厂商已经确认，细节仅向厂商公开
2014-08-31：细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-10-22：细节向核心白帽子及相关领域专家公开
2014-11-01：细节向普通白帽子公开
2014-11-11：细节向实习白帽子公开
2014-11-21：细节向公众公开

漏洞概要关注数(16) 关注此漏洞

缺陷编号： WooYun-2014-73549

漏洞标题：某通用型电子采购平台从某处目录遍历到任意文件上传GetShell

漏洞作者：魇

提交时间： 2014-08-25 14:54

公开时间： 2014-11-21 14:56

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank： 15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：任意文件上传任意文件上传

5人收藏

漏洞详情

披露状态：

简要描述：

前人漏洞，捡漏。

详细说明：

前人漏洞：http://**.**.**.**/bugs/wooyun-2014-070117 http://**.**.**.**/bugs/wooyun-2014-062918

厂商：北京网达信联科技发展有限公司 http://**.**.**.**/

产品：电子采购平台

Google搜索语法：inurl:/custom/GroupNewsList.aspx

枚举部分实例：

code 区域

http://**.**.**.**/custom/GroupNewsList.aspx?groupId=121&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=141&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=142&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=58&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=142&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=142&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=140&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?groupId=58&child=true
 http://www.sdlg.info/custom/GroupNewsList.aspx?GroupId=58&child=true
 http://**.**.**.**:90/custom/GroupNewsList.aspx?GroupId=141&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=142&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=141&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=148
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=181
 http://**.**.**.**/custom/GroupNewsList.aspx?companyId=&child=true&buyGroupid=1302&groupId=38
 https://**.**.**.**:8084/custom/GroupNewsList.aspx?GroupId=114&buyGroupId=1178
 http://**.**.**.**/custom/GroupNewsList.aspx?typeObj=t58&groupId=58
 http://**.**.**.**/custom/GroupNewsList.aspx?GroupId=142&child=true
 http://**.**.**.**:8000/custom/GroupNewsList.aspx?GroupId=58&child=true
 **.**.**.**/custom/GroupNewsList.aspx?GroupId=58&child=true
 http://**.**.**.**/custom/GroupNewsList.aspx?typeObj=t58&groupId=58
 等等...

漏洞证明：

从其中一个站点http://**.**.**.**/存在多处目录遍历

其他站点貌似不存在只是从该站点挖掘出其他通用漏洞就略过，直接讲任意文件上传吧。

http://**.**.**.**/library/editornew/Editor/temp.asp 该编辑器目录存在任意文件上传，可以直接上传ASP一句话，通过该站目录遍历，获知到文件最后上传到/library/editornew/Editor/newImage/目录