漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-053784
漏洞标题：cctv某站点任意文件上传
相关厂商：中国网络电视台
漏洞作者： study_vul
提交时间：2014-03-25 11:36
修复时间：2014-05-09 11:36
公开时间：2014-05-09 11:36
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-05-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
央视某系统存在任意文件上传漏洞，殃及多个站点
详细说明：
前几天发现siteserver系统 权限绕过问题 WooYun: siteserver3.6.4一行代码击垮所有安全防护
时隔多日厂商迟迟没有确认，对于对一次来乌云提交漏洞，就这样...真的的很伤心，但是看看以往大牛们提交的siteserver漏洞，也基本未修复,真的是无言以对，这可是国内第一个。net内容管理系统呀，怎么都这样? 作为白帽子，很为站长伤心...
坐下来想想，可能官方觉得没有什么危害吧，但是个人还是觉得这个问题挺严重的，因此考虑还是做一个测试案例，提交给cnvd进行处理，可能好些。因此有了下文...
去siteserver官网可以看到有很多使用该cms的站点，而且各行各业，都包括了 不愧是国内最大的.net cms. 由于是0day因此，只要是使用siteserver站点，基本都在劫难逃。但由于太多使用该cms站点，无法一一列举进行测试。因此只举一个例子进行证明。
http://www.siteserver.cn/case/62.html
在这个页面，我看到了央视...
http://www.cctvad.org
该站点的使用了siteserver，但是后台管理页面被删除了，站长以为就可以逃过一劫，其实我们知道该漏洞是权限绕过(不知道说的对不对),因此后台的任意界面都可以访问的，所以我直接访问后台的系统升级功能，大家都知道在线升级功能，一般都会保留，因为这个功能很重要，打补丁嘛。
发送请求，返回302，直接修改数据包，将302改成200，变成如下形式:
同时去掉结尾的这行js
然后进行显示
可以访问该功能了。
点击导入补丁包，然后选择一个a.zip(里面可以放任何文件 包括webshell)
获得第一个返回请求包，
就是将302 修改成200 删除跳转相关代码即可。
每次都这样操作后，看到如下界面:
上传完成了。
访问上传的文件路径
也可以是shell
上面还有几个站点，没有仔细看
只是为了说明 漏洞很严重，补丁要及时
漏洞证明：
如上所示
该漏洞是未公开的漏洞，个人感觉还是很严重的，希望cncert责令厂商及时修复，同时通知多个使用该系统的政府教育等等站点，及时更新或者更换系统。
所谓未公开，就是0day，即使上了防护(如果你是一个细心的读者，从第一个图片可看出这个站点的防护设备是什么),也未必能能够挡住所有攻击，所谓的防护类似杀毒软件，一般都是滞后，应该从根本上解决问题，才是关键。
修复方案：
一行代码的事，一行代码能成事，也能坏事。
而且从官方列举的案例可以看出，很多使用siteserver站点都已经更换了系统，对于不负责任的厂商，更换系统可能是最好的修复方案(请原谅我的言辞激烈，实在是忍无可忍)
版权声明：转载请注明来源 study_vul@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝