漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0112772
漏洞标题：句酷批改网分站任意文件上传
相关厂商：pigai.org
漏洞作者： Ztz
提交时间：2015-05-08 15:21
修复时间：2015-06-22 16:54
公开时间：2015-06-22 16:54
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：12
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-08： 细节已通知厂商并且等待厂商处理中
2015-05-08： 厂商已经确认，细节仅向厂商公开
2015-05-18： 细节向核心白帽子及相关领域专家公开
2015-05-28： 细节向普通白帽子公开
2015-06-07： 细节向实习白帽子公开
2015-06-22： 细节向公众公开
简要描述：
句酷批改网分站任意文件上传
详细说明：
php到位了，但是目录没解析权限。所以没拿到shell。传个html看看吧.
问题在这个什么什么比赛的分站。~前端代码校验后缀。实际发送的时候随便改。最关键的是返回真实地址了，这类审核类的东西给管理看就好了，不用返回真实地址给用户。下面有一个可以下载自己附件的链接，用的就是attachement.php?id=xx这样的地址，说明有考虑到这个问题。
上传次数没有什么校验，可以放到repeater里无脑跑，试了php php3 php5 phtml之流通通403。。。也是狠，不过html可以"解析"。菠菜网站最喜欢了~
然后我们去看一下~超链到了我的乌云主页XD
再附送一个：（这个找了很久了，一直没发，今天附赠一下XD）
你们那个邀请注册的邮件内容可控。可以拿来钓钓鱼，这里放一个本来准备拿来钓你们的邮件。（奈何我的SHELL CODE在post的时候被过滤掉了。。。lol）
下面是两封钓鱼邮件，第一封是POC，第二封可以拿来钓鱼，糊你们在网站帮我放个php一句话。好羞羞。。。
漏洞证明：
同上。
修复方案：
1.记得清除shell文件。
2.上传后缀严格限制
3.不返回给用户真实地址
4.邮件内容放到数据库里，放前端让用户post提交不仅浪费带宽，还会被人利用去钓鱼。
版权声明：转载请注明来源 Ztz@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-05-08 16:53
厂商回复：
马上修复，稍后奉上礼物
最新状态：
暂无