漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-064123
漏洞标题：跨站跨站再跨站导致快捷酒店管家裤子泄漏+getshell
相关厂商：上海智展
漏洞作者： s0mun5
提交时间：2014-06-09 09:43
修复时间：2014-09-07 09:44
公开时间：2014-09-07 09:44
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-09-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
只需30秒，找到身边的如家、汉庭、7天…
再用30秒，会员价完成预订！
连锁酒店官方合作，随时都能订到房
内置导航功能，到店无忧！
覆盖数百个城市，近万家分店，
走到哪儿，订到哪儿，真正的订房利器！
详细说明：
客户端留言反馈xss
跨到后台
http://h.133.cn/hotel/message/view?m=3xxxx
m为客户id
这个后台是不需要认证的 也可以改id遍历所有用户
这里客户端反馈添加图片可以上传任意文件 burp做代理抓包改报可以
绕过方式比较奇葩 有时成功又是不成功
http://h.133.cn/cr/message/upimages/1403311714283119_..2.jpg20140331170036.5518190440721.php_.html
http://h.133.cn/cr/message/upimages/1403311712419434_..2.jpg20140331170036.5518190440721.php_.php
这就属于成功的
这里还能发送任意短信
漏洞证明：
然后注入
这就是主数据库 后面getshell后验证了
然后各种链接看网页源码找到一个后台 http://dz.133.cn/login.jsp
这里可以任意注册
进去后随便找一个分店认领
资料图片可以任意上传 绕过方式比较奇葩 三个后缀名就可以了.jsp.jpg.jsp
然后备注资料写入xss代码
可以跨到 http://dz.133.cn/admin/login.jsp
这个后台 查看shell地址
这里cookie已经失效 就不截图了
然后就getshell了
数据就漏了 各种用户的信息
修复方案：
不要试图找我是谁了 我又没搞破坏：)
权限控制好 代码过滤好吧
版权声明：转载请注明来源 s0mun5@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：12 (WooYun评价)