当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-052699

漏洞标题：大汉xxgk（政府信息公开）系统某处越权+getshell

相关厂商：南京大汉网络有限公司

漏洞作者： wefgod

提交时间：2014-03-04 12:25

修复时间：2014-06-02 12:26

公开时间：2014-06-02 12:26

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-04： 细节已通知厂商并且等待厂商处理中
2014-03-04： 厂商已经确认，细节仅向厂商公开
2014-03-07： 细节向第三方安全合作伙伴开放
2014-04-28： 细节向核心白帽子及相关领域专家公开
2014-05-08： 细节向普通白帽子公开
2014-05-18： 细节向实习白帽子公开
2014-06-02： 细节向公众公开

简要描述：

政府信息公开系统的getshell。和前两天发的那个拿shell方式是不一样的。

详细说明：

越权发生在setup/opr_setting.jsp
拿shell是在上传license文件的jsp中setup/opr_licenceinfo.jsp

漏洞证明：

<%
	String strRealPath = application.getRealPath("");
	
	strRealPath = strRealPath.replace('\\','/');
	if(strRealPath.endsWith("/")) 
		strRealPath = strRealPath.substring(0, strRealPath.length() - 1);
	//系统路径
	jcms.sys.Install install = new jcms.sys.Install( strRealPath );
	install.setMerpHome( );
	
	String servername = Convert.getParameter( request,"servername");
	servername = servername.toLowerCase();
	String jndi = Convert.getParameter( request,"jndi");
	String adminpwd = Convert.getParameter( request,"adminpwd");
	String dbtypename = Convert.getParameter( request,"dbtypename");
	dbtypename = dbtypename.toLowerCase();	
	//写merpserver.ini配置文件
	String iniPath = strRealPath + "/WEB-INF/ini/merpserver.ini";
	boolean bl = false;
	String strMsg = "";
	IniFile ini = new IniFile( iniPath );
………………


木有权限的验证。
直接访问http://xxgk.yzcity.gov.cn/govdiropen/setup/opr_setting.jsp
可以直接清空setup后台的配置数据。

image001.png


此时已经将setup的登录密码清空。（有风险，请勿随意尝试，不要跟着我犯错……）
提交数据的时候清空密码即可登录成功

image002.png


image004.png


这里有上传licence文件的选项，直接上传一个jsp.licence，然后改包，修改文件名为"jsp.jsp"，

image006.png


image008.png


成功，连之

image009.png

修复方案：

唉唉。

版权声明：转载请注明来源 wefgod@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-03-04 13:36

厂商回复：

非常感谢您对大汉产品的关注以及对产品安全方面的指正，涉及问题已在新版本中修复

最新状态：

暂无