当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-081419

漏洞标题：某通用建站系统漏洞打包（任意文件上传）

相关厂商：长威信息科技发展股份有限公司

漏洞作者： 路人甲

提交时间：2014-10-31 12:47

修复时间：2015-01-29 12:48

公开时间：2015-01-29 12:48

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-31： 细节已通知厂商并且等待厂商处理中
2014-11-05： 厂商已经确认，细节仅向厂商公开
2014-11-08： 细节向第三方安全合作伙伴开放
2014-12-30： 细节向核心白帽子及相关领域专家公开
2015-01-09： 细节向普通白帽子公开
2015-01-19： 细节向实习白帽子公开
2015-01-29： 细节向公众公开

简要描述：

不是第一个提这个洞的人，相信也不会是最后一个
前几个被提出的洞都没有找到问题厂商......这有点让人难以置信呀

详细说明：

存在该漏洞的厂商为：

长威信息科技发展股份有限公司http://www.evecom.net/


长威信息科技发展股份有限公司，是一家全国领先的IT综合服务提供商。长威科技致力于以智慧城市为核心领域的软件研发、解决方案集成及运行维护服务，并已构建起完整的IT服务价值链，为客户提供端到端的IT信息化服务。
曾经的那些bug（感谢possible的分析，找了一下午才发现你已经提过了部分..）：

 WooYun: 福建省国土资源厅任意jsp上传


其中修复方案中有指出其拦截代码为

evecom.jspcode='|and|set|exec|varchar|insert|select|*|update|delete|chr|master|truncate|char|declare|<|>


注意evecom即长威（该站已换厂商了）

 WooYun: 福建某些局站点任意文件下载


案例中的

../WEB-INF/web.xml

也指向了长威（evecom）

QQ截图20141030201954.jpg


该系统有3处漏洞：
1、上传页面未授权访问，导致文件任意上传、文件任意删除；
2、任意文件下载
3、FCK（路径都懒得改了）
实例（以福建省为主）
中华人民共和国上海海事局福州航标处

http://www.fzhb.gov.cn/admin/content/upload.jsp


福建省人口和计划生育委员会

http://www.fjjsw.gov.cn/admin/content/upload.jsp


http://www.fjjsw.gov.cn:8080/admin/content/upload.jsp


福建省司法厅

http://www.fjsf.gov.cn:11080/fjsf/admin/content/upload.jsp


http://www.fjsf.gov.cn/fjsf/admin/content/upload.jsp


http://www.fjsf.gov.cn/admin/content/upload.jsp


福建农产品信息网

http://www.fjcoop.com:8088/admin/content/upload.jsp


福建少年儿童出版社

http://www.fjcp.com/admin/content/upload.jsp


长威信息科技发展股份有限公司

http://www.evecom.net/admin/content/upload.jsp


等等，也可以访问http://*./admin/template/uploadFile.jsp
搜索特征：
templates/left.jsp?colid
templates/zt_qzlx.jsp?colid
templates/down.jsp?colid

漏洞证明：

以厂商主站为例
1、上传页面未授权访问，导致文件任意上传、文件任意删除；
可以用possible提供的exp，也可以自己抓个包，将realPath=null改为realPath=/，或其它（这里没有设置limit和hold参数，所有文件被重命名为 原文件名+时间戳.jsp）

QQ截图20141030204945.jpg


QQ截图20141030205230.jpg


QQ截图20141030205252.jpg


http://www.evecom.net/test20141030085829.jsp


通过以下链接可完成文件删除动作，注意realPath的修改

http://www.evecom.net/delMoreFile.do?realPath=/&filename=test20141030085829.jsp&notSelect=1


访问后http://www.evecom.net/test20141030085829.jsp会报500错误，但文件确实已经被删除了
，特地传了个马上去验证了（这个洞貌似已经有年头了，站里也有其他人的shell）

http://www.evecom.net/20140924102951.jsp


QQ截图20141030211821.jpg


2、任意文件下载

http://www.evecom.net/templates/download.jsp?path=/UserFiles/../WEB-INF/web.xml


QQ截图20141030212312.jpg


3、FCK（以福建省人口和计划生育委员会网站为例）可参考

 WooYun: 中国联通某省站点任意文件上传 


http://www.fjjsw.gov.cn/FCKeditor/editor/fckeditor.html


http://www.fjjsw.gov.cn/FCKeditor/editor/filemanager/browser/default/frmupload.html


http://www.fjjsw.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector


QQ截图20141030213654.jpg


4、任意添加用户

QQ截图20141030212643.jpg


就不深入了....

修复方案：

修复
对任意文件下载应该是过滤../ 并且文件后缀白名单检查吧
上传路径不可控+重命名+白名单
未授权访问加上登录session验证

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-11-05 09:52

厂商回复：

最新状态：

暂无