漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-043087
漏洞标题：华文网报某报刊生成系统任意文件上传导致近百家网报沦陷——一个弱验证码引发的血案
相关厂商：华文网报
漏洞作者： RedFree
提交时间：2013-11-20 19:42
修复时间：2014-01-04 19:43
公开时间：2014-01-04 19:43
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-20： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-01-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
华文网报某报刊生成系统采用PHP开发，该套系统后台路径可轻易被猜解，且登录的验证码太过简单可轻易被识别；导致了爆破攻击》后台弱口令》上传PHP脚本》获得主机X权限……
详细说明：
华文网报是一家比较大的网络报刊公司，经查询全国有近百家报刊使用此系统生成：
这套系统的模式如下图：
所以一但Web端出现了问题，就会导致使用该系统的近百家报刊沦陷。但经测试，该系统Web端是存在问题的。
首先：轻易得到了管理后台路径（Web端相同，使用88个域名中的任一域名访问都可以）
http://ptxyb.cuepa.cn/admin/admin_login.php
经过简单的代码书写，验证码可以被轻易的识别。配置完爆破选项后，开始了弱口令爆破。
最终得到管理员弱口令，用户：admin 密码：adminadmin
使用管理口令访问，跳到了一个不存在的页面（管理员都使用做好的客户端生成报纸，所以不会使用这个页面登录的。有Bug可以理解）。
将页面地址填为完整路径再访问，进了管理后台……
http://ptxyb.cuepa.cn/admin/admin_login.php?tran=87efca281fd740e0c2b50a5b27bd711f370682ccdd503f39d4f2c1696e6472ffb9240c267258
在测试版面发布一期报刊，附件选择附件为php一句话上传，获得文件链接。至此，轻易得到了webshell。
连接数据库：
<T>MYSQL</T>
<H>localhost</H>
<U>root</U>
<P>netnewscn</P>
<L>huiyi</L>
漏洞证明：
修复方案：
0、后台路径不要被猜好不
1、验证码搞复杂一点好不
2、后台不要有弱口令好不
3、上传文件用白名单好不
4、上传目录不可执行好不
5、站、库分离Mysql低权限好不(不要坐等被提权好不)
5、服务器装上狗、神、盾、卫士哥(增加点难度好不)
版权声明：转载请注明来源 RedFree@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝