当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0194821

漏洞标题：某GPRS调度系统漏洞导致可修改全国出租车LED顶灯屏幕内容（可发送调度指令/拍照指令/语音监听）

相关厂商：cncert国家互联网应急中心

漏洞作者： Aasron

提交时间：2016-04-11 11:51

修复时间：2016-05-29 15:50

公开时间：2016-05-29 15:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-11： 细节已通知厂商并且等待厂商处理中
2016-04-14： 厂商已经确认，细节仅向厂商公开
2016-04-24： 细节向核心白帽子及相关领域专家公开
2016-05-04： 细节向普通白帽子公开
2016-05-14： 细节向实习白帽子公开
2016-05-29： 细节向公众公开

简要描述：

某GPRS调度系统漏洞导致可修改全国出租车LED顶灯屏幕内容（可发送调度指令/拍照指令/语音监听）
除了出租车在用，还有商务及个人用户，所以影响比较广

详细说明：

求雷劈！浩天哥，么么哒
#前言
这套系统是全国智能交通开发的一套GPRS调度管理系统，不过功能太强大了
全球GPS定位系统

http://**.**.**.**/


1.png


#2
登录框首先就存在着一处注入，过滤了，使用space2mysqldash能绕过
不过我看了看表我还是放弃了

1.png


1.png


5000多张表，等跑完了不知道何年何月了，果断放弃！
经过前期观察发现页面并没有添加验证码等机制，进行了爆破，准备了字典，跑了半天发现根本没有什么结果

1.png


结果在最顶上，我以为不存在的问题竟然有，后台登录验证绕过

1.png


admin'%20or%201%3d1--


这个能直接进入后台，但进入后台发现NM，一直谈错误信息，且得不到任何有价值的东西，我想了想，会不会是构造的语句有问题？

1.png


后面想了想，闭合了单引号，即 

admin 'or 1='1

或 

'or 1='1


#3 等待进入中...

1.png


等待了半天出现了我想的页面，刚开始进去 报警的汽车会发出声音，还被吓了一跳
不小心抖了一下，处理了一个警报

6.png


看了看功能着实强大
信息比较详细

1.png


在点击车辆，有命令操作的功能

1.png


2.png


可直接断开油路，发送拍照指令
#你以为这样就完了？
在更多界面的，我们可以看到更全的

3.png


1.png


如果车辆在线的话，可以直接进行LED屏幕内容的修改，我在官网上找了一张图

1.png


修改的是出租车的顶灯LED屏幕以及带有LED后屏的车辆

1.png


可发送拍照指令
语音监听
只要在语音监听回报号码中填写任意号码就能接听到

1.png


最奇葩的是还可以控制引擎开关，这到底是个什么系统啊？

1.png


当前是由于无在线车辆所以无法发送指令

1.png


漏洞证明：

#5
在管理界面，我找到了另外几处漏洞，可越权操作

1.png


在查询时抓取到一个接口

/Ajax/GetAllDevicesPage?_=1460289571446&userId=177&pageSize=10&page=1&key=1


其中userId代表查询的当前用户终端，于是开始遍历

1.png


1.png


1.png


1.png


Tel参数及SIM参数为手机号，我马赛克了，有些拥有的汽车终端量不小
在更改上级的时候
将参数修改为其它人的参数就能轻易管理别人的汽车了

POST /Ajax/ChangeParent HTTP/1.1
Host: **.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0
Accept: application/json, text/javascript, */*
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Referer: http://**.**.**.**/Manage/ChangeParent?id=177&type=2&KeepThis=true&
Content-Length: 24
Cookie: 马赛克
Connection: close
UserId=177&Id=177&Type=2


我这里将Id参数修改为1，但是什么车辆都没有

1.png


同理也可以修改将自己修改为别人的上级,修改之前遍历成功的userId参数，成功添加

1.png


这里成功添加自己为别人的上级，与其说成为别人的上级不如说直接控制了别人的账户，因为这里直接将L1客户的帐号强制绑定到当前帐号来了,如果拥有车辆终端的话，意味着就可以随人控制他人车辆终端了。

1.png


#6
按道理来说，在指令发送页面进行指令发送的时候，抓包将汽车的值更换为其它车的值，是不是就可以任意发送指令给别的车辆和控制别人的车辆了呢？

修复方案：

版权声明：转载请注明来源 Aasron@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2016-04-14 15:49

厂商回复：

CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给广东分中心，由广东分中心后续协调网站管理单位处置。

最新状态：

暂无