当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-065842

漏洞标题：URP综合教务系统通杀（无需登录，可操作数据，学籍信息，影响几百所大学）

相关厂商：URP综合教务系统

漏洞作者： HackPanda

提交时间：2014-06-22 18:35

修复时间：2014-09-20 18:36

公开时间：2014-09-20 18:36

漏洞类型：任意文件遍历/下载

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-22： 细节已通知厂商并且等待厂商处理中
2014-06-26： 厂商已经确认，细节仅向厂商公开
2014-06-29： 细节向第三方安全合作伙伴开放
2014-08-20： 细节向核心白帽子及相关领域专家公开
2014-08-30： 细节向普通白帽子公开
2014-09-09： 细节向实习白帽子公开
2014-09-20： 细节向公众公开

简要描述：

有一天，我听到有人管我叫深澜杀手...哥不只搞深澜好嘛...最近缺钱，求之前几个加上这个的通用的奖励喔亲~

详细说明：

1.38 1.5通杀。
用我挂了的高数算一下，百度大约有33页 一页10个 330个学校 大约一所学校3-5w 人，算下来是千万级别的。
没有源码我是不敢来滴，话说这个已经由p1aywind大牛发了，这个是一个点，不过大牛单纯了，这个漏洞实际是不需要登录的，而且可以轻易读取数据库连接信息，还有shadow，这就是这个漏洞的真正危害所在。求轻轻地雷劈我一下~哈哈

public void service(HttpServletRequest req, HttpServletResponse res)
	{
		BufferedReader br;
		PrintWriter pw;
		br = null;
		pw = null;
		res.setContentType("text/html;charset=GBK");
		pw = res.getWriter();
		String filename = req.getParameter("file"); //直接取得file
		br = new BufferedReader(new InputStreamReader(getClass().getResourceAsStream(filename), "GBK"));
		String s;
		while ((s = br.readLine()) != null) 
			pw.print(s + "\n");
		Exception e;

漏洞证明：

特征为 intitle:urp综合教务系统-登录
随便点一个进去了不用登陆
构造http://x.x.x.x/servlet/com.runqian.base.util.ReadJavaScriptServlet?file=../../../../../../../../conf/resin.conf
查看页面源文件。

20.png


有了这个就可以登录到其对应的oracle数据库了，一般这个是部署在内网的，不过搞一台内网的主机对大牛们来说很简单，只要有webshell就可以，或者许多学校提供有VPN可以接入，这个默认密码一般就是跟学号一样的，需要学号的话可以去学校贴吧搜索，或者去文库搜索某某学校奖学金，然后用burp爆破即可，甚至你可以去这个学校，或者你本身就是在这个学校想操作自己成绩的坏蜀黍~
这是其中之一

count.png


来个破解VPN的，轻松操作数据库（这里用burp破解到大连某学校的一个账号）

dl.png


再来个部署在外网的，影响10W+数据，密码再长也没用..求不要暴漏在外网..

waiwa.png


waiwang.png


当然这个漏洞光读取应用内信息也不太优秀，再来一发shadow？

shada.png

sha.png

修复方案：

限制可读取目录，过滤跨目录的关键字，限制在本应用。

版权声明：转载请注明来源 HackPanda@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-26 22:24

厂商回复：

CNVD确认并复现所述情况（验证工作由上海交通大学网络信息中心协助完成），已经由CNVD按以下步骤处置：（1）联系软件生产厂商，北京清元优软公司，（分机***），将通报发送至前处置的cicsupp*** 和yyx 邮箱中；（2）根据测试实例情况，将相关案例转报给教育网应急组织——赛尔网络公司，抄报CCERT处置。

最新状态：

暂无