当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-081003

漏洞标题：金蝶政务GSiS服务平台通用任意文件上传漏洞

相关厂商：金蝶

漏洞作者： 路人甲

提交时间：2014-10-27 19:29

修复时间：2015-01-25 19:30

公开时间：2015-01-25 19:30

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-27： 细节已通知厂商并且等待厂商处理中
2014-10-28： 厂商已经确认，细节仅向厂商公开
2014-10-31： 细节向第三方安全合作伙伴开放
2014-12-22： 细节向核心白帽子及相关领域专家公开
2015-01-01： 细节向普通白帽子公开
2015-01-11： 细节向实习白帽子公开
2015-01-25： 细节向公众公开

简要描述：

参照下前人的描述：GSiS政务服务平台：首个完全根据国家政策要求全新开发的，支撑政务服务体系和行政权力监督体系融合运转的一体化平台。
存在任意文件上传漏洞，可获取webshell
PS：两$$符啥感觉，给一个爽爽吧~~

详细说明：

程序名称：Kingdee GSIS
开发公司：金蝶
漏洞类型：任意文件上传
漏洞文件：/core/upload/upload.jsp
关键词：inurl:/kdgs/
收集几个案例，方便测试

mask 区域 
1.http://**.**.**/kdgs/_
2.http://**.**.**/kdgs/_
3.http://**.**.**/kdgs/_
4.http://**.**.**/kdgs/_
5.http://**.**.**/kdgs/


漏洞成因：对文件上传类型没有严格过滤，当允许类型allowedTypes为null时，采用的是*.*通配，导致任意文件上传。

//判断上传格式
String fileDesc;
String fileExt;
String uploadFileNumber;
    if(allowedTypes.equals("image" )|| allowedTypes=="image"){
    	fileDesc="jpg/gif/jpeg/png/bmp";
    	fileExt="*.jpg;*.gif;*.jpeg;*.png;*.bmp";
    	uploadFileNumber="1";
    }else{
    	fileDesc="*";
    	fileExt="*.*";/////这里是问题所在
    	uploadFileNumber="10";
    }


漏洞利用：
①首先注册一个普通用户，登录及注册地址：/kdgs/biz/portal/login/login.action
②访问/kdgs/core/upload/upload.jsp ，选择jsp文件，上传抓包，把path的值改为ITEM_PATH提交，即可获得webshell,简单粗暴
实例演示：
###NO.1

mask 区域 
1.http://**.**.**/kdgs/


首先访问http://******.gov.cn:8080/kdgs/biz/portal/login/login.action
点击注册一个用户，这里我注册的testbye/testtest，登录进去

1.jpg


直接访问:http://*****.gov.cn:8080/kdgs/core/upload/upload.jsp

1.jpg


选择jsp马上传抓包，改path:ITEM_PATH

1.jpg


在返回值里看shell路径

1.jpg


shell路径为：/uploads/item/11e4-5dc8-b4173752-b77d-1335b63918b7.jsp，后面的Jf**.jsp去掉

1.jpg


####NO.2

mask 区域 
1.http://**.**.**/kdgs/


步骤和上面一样，注册个用户，登录访问core\upload/upload.jsp
上传抓包改包：

1.jpg


返回的shell地址：

1.jpg


shell：

1.jpg


政府站点，演示证明下就行了，shell已删.. 就不去弄5个站演示了

漏洞证明：

如上

修复方案：

过滤上传文件类型

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-10-28 09:59

厂商回复：

感谢关注金蝶产品安全，之前已经有同学反馈了，只是产品部门不够重视修复进度比较慢，目前已经自上而下去推动了。再次感谢！

最新状态：

暂无