当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-076816

漏洞标题：大汉版通JCMS N处越权+xss+N处SQL注入漏洞（无需登录）

相关厂商：国家互联网应急中心(cncert)

漏洞作者： 路人甲

提交时间：2014-09-21 13:58

修复时间：2014-12-20 14:00

公开时间：2014-12-20 14:00

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-21： 细节已通知厂商并且等待厂商处理中
2014-09-26： 厂商已经确认，细节仅向厂商公开
2014-09-29： 细节向第三方安全合作伙伴开放
2014-11-20： 细节向核心白帽子及相关领域专家公开
2014-11-30： 细节向普通白帽子公开
2014-12-10： 细节向实习白帽子公开
2014-12-20： 细节向公众公开

简要描述：

详细说明：

0x01、越权
http://sha.sinotrans.com/jcms/m_5_b/selmulti_column.jsp?type=1

//判断是否为系统管理员
        boolean blSysAdmin = UserRightBLF.isSysAdminUser(request);
        boolean blWebAdmin = UserRightBLF.isWebAdminUser(request);
        XTree xtree = new XTree(request, "100%", "100%");
        String strTree = "";
        if (blSysAdmin || blWebAdmin) { //为系统管理与或者web管理员执行}
                if (strType.equals("3")){
                        xtree.enableCheckbox(false);
                }else{
                        xtree.enableCheckbox(true);
                }
                strTree = xtree.getAjaxXTree("./tree.jsp", "type=" + strType);
        } else {
                ColumnTree tree = new ColumnTree(request); //这里继续执行。。。
                
                if (strType.equals("3")) {
                    out.println(sys.webId);
                        out.println(strUserId);
                        strTree = tree.getTreeWithRoleID(sys.webId, strUserId,
                        ColumnTree.COLUMN, "", "", "", "", true,"", false);
                }  else {
                        strTree = tree.getTreeWithRoleID(sys.webId, strUserId,
                        ColumnTree.COLUMN, "", "", "", "", true, "", true);
                }
        }
//下面即为越权的内容
        String strTitle = "网站发布 》";
        if (strType.equals("1")){
                strTitle += "文章页发布";
        }else if (strType.equals("3")){
                strTitle += "栏目页发布";
        } else if (strType.equals("9")){
                strTitle += "创建索引 [即全文检索索引]";
        }
%>


1.jpg


0x02 越权二
http://sha.sinotrans.com/jcms/m_5_1/que_chooseusers.jsp
直接显示管理员账户
看代码，看不到任何后台有权限验证，导致直接将登录名暴露出来

<%@page contentType="text/html;charset=UTF-8" %>
<%@page import="com.hanweb.common.util.Convert"%>
<%@page import="com.hanweb.taglib.listview.*"%>
<jsp:useBean id="sys" class="jcms.sys.SysInfo" scope="page" />
<%
        //定义ListTable
        ListTable listtable = new ListTable(request);
        out.println(listtable.getListTableCssJs());
%>      
<script language=JavaScript src="../m_1_9/user/script/que_userinfo.js"></script>
<script language=JavaScript src='../m_1_9/user/script/include.js'></script>
<script type="text/javascript">
        function doOptInterface(obj, msg, strid, no, label, queform){
                var infoId = getCheckAll(obj);
                if(infoId.indexOf(",") > 0){
                        alert("只能选择一个录入人！");
                        return false;
                }
                switch( label ){
                case "is.enter": //新增
                        setTBConfig( "retVal",infoId, "parent");                
                        removeTB("parent");
                case "is.query"://检索
                        submitflag = true;
                        break;
                }
                return submitflag;
        }
</script>
<style type="text/css">
<!--
.hotlink {
        color: #000080;
        font-size: 12px;
        cursor:hand
}
-->
</style>
<%
        //当前页数
        String currpage = Convert.getParameter(request,"currpage");
        currpage = (currpage.equals("")) ? "1" : currpage;
        
        //      **where条件**//
        StringBuffer strSqlCondition    = new StringBuffer(128);//条件
        String que_keywords = Convert.getParameter(request,"que_keywords");
        String que_usergroupid = Convert.getParameter(request,"que_usergroupid");
        String que_usergroupname = Convert.getParameter(request,"que_usergroupname");
        String que_keywords1 = Convert.getParameter(request, "que_keywords1");
        String que_scope        = Convert.getParameter(request, "que_scope");
        que_keywords    = ( que_keywords1.length() > 0 ) ? que_keywords1 : que_keywords;//高级检索的关键字优先
        
        strSqlCondition.append("  a.c_id !='00000' AND vc_usertype='0' ");      //admin用户不出来


2.jpg


0x03 xss
在/m_5_b/selmulti_column.jsp中

<form name=FormName>
        <input type=hidden name=userId value="<%=request.getParameter("userId")%>">//直接获取userId 。。。造成xss
        <input type=hidden name="columnId" value=""> 
        <input type=hidden name="columnName" value="">
</form>
<div id=nodeCache style="display:none"></div>
<iframe id='taskPublish' style="display:none"></iframe>
<iframe id='createIndexFrame' style="display:none"></iframe>


所以直接反射型的xss来了。。
http://sha.sinotrans.com/jcms/m_5_b/selmulti_column.jsp?type=1&userId=2222222"><script>alert(2222)</script>

3.jpg


0x04 SQL注入漏洞（一）
http://sha.sinotrans.com/jcms/m_5_1/que_chooseusers.jsp?que_keywords=1

String que_scope        = Convert.getParameter(request, "que_scope");
        que_keywords    = ( que_keywords1.length() > 0 ) ? que_keywords1 : que_keywords;//高级检索的关键字优先
        
        strSqlCondition.append("  a.c_id !='00000' AND vc_usertype='0' ");      //admin用户不出来
        
        if(que_keywords.length()>0){
                if(que_scope.length()>0){
                        if(que_scope.equals("vc_username"))
                                strSqlCondition.append(" AND vc_username like '%"+que_keywords+"%' ");  
                        if(que_scope.equals("vc_loginid"))
                                strSqlCondition.append(" AND vc_loginid like '%"+que_keywords+"%' ");
                }else
                        strSqlCondition.append(" AND (vc_username like '%"+que_keywords+"%' OR vc_loginid like '%"+que_keywords+"%' )");
        }


看参数que_keywords1 其中即为搜索型SQL注入了。。

4.jpg


0x02 SQL注入漏洞（二）
http://sha.sinotrans.com/jcms/m_5_1/que_chooseusers.jsp?que_usergroupid=1
同一页面

String que_usergroupid = Convert.getParameter(request,"que_usergroupid");
.....//中间省略无关代码
                
        if(que_usergroupid.length()>0)
                strSqlCondition.append(" AND vc_usergroupid = '"+que_usergroupid+"' ");


5.jpg


漏洞证明：

看参数que_keywords1 其中即为搜索型SQL注入了。。

4.jpg


0x02 SQL注入漏洞（二）
http://sha.sinotrans.com/jcms/m_5_1/que_chooseusers.jsp?que_usergroupid=1
同一页面

String que_usergroupid = Convert.getParameter(request,"que_usergroupid");
.....//中间省略无关代码
                
        if(que_usergroupid.length()>0)
                strSqlCondition.append(" AND vc_usergroupid = '"+que_usergroupid+"' ");


5.jpg


修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-09-26 09:47

厂商回复：

最新状态：

暂无