漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0136996
漏洞标题：智齿客服系统多种漏洞打包可影响大量企业（WebIM黑盒测试技巧）
相关厂商：sobot.com
漏洞作者： 子非海绵宝宝
提交时间：2015-08-26 10:30
修复时间：2015-11-24 11:44
公开时间：2015-11-24 11:44
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-26： 细节已通知厂商并且等待厂商处理中
2015-08-26： 厂商已经确认，细节仅向厂商公开
2015-08-29： 细节向第三方安全合作伙伴开放
2015-10-20： 细节向核心白帽子及相关领域专家公开
2015-10-30： 细节向普通白帽子公开
2015-11-09： 细节向实习白帽子公开
2015-11-24： 细节向公众公开
简要描述：
各种漏洞直到主站shell
影响数千企业
详细说明：
我们建立一个客服系统进行演示
主要漏洞1:前台打后台XSS
在前台转人工服务后 点击图像上传,并截断
将图片信息参数替换为xss
我们看下后台
成功触发XSS
主要漏洞2:历遍全部用户并xss
在接入移动网络的自定义聊天窗口文案出可以形成XSS
但是这个地方的XSS本身是毫无意义的因为只能X自己,但是我们看下他的数据包
首先是的他长度只在前台进行了限制 直接修改包即可绕过
其次是他的id参数3355这个是我们的用户ID
这里是存在越权的,历遍这个ID即可历遍全部用户
轻轻松松几十个cookie
其中包括了客服官方自己的cookie,一些比较大的企业.
这里我就不截图了
主要漏洞3:系统shell
这套系统是可以直接shell
奇怪的是大部分上传都是到cdn或者专门的图片服务器 只有这里是主站服务器 并且上传只做了前台过滤
不过注意的是他的目录好像做了限制并不解析但是我们看包
其中一个ID参数被带入了路径
这就好办了 把id改成../haha 即可放到其他目录
http://www.sobot.com/console//haha/logo/20c7508fb91d478cb18d85503ec6d769.jsp?pwd=023&i=id
成功shell 并且这套系统好像默认是root权限....其他几个系统地址也是root
主要漏洞4:后台X前台
有人说这个后台X前台没什么用啊
但是你要知道,他的客服系统是可以镶嵌在各大企业的页面的,也就是说可以直接X用户的用户
方法和前台X后台一样的 后台截包改包即可
漏洞证明：
如上
修复方案：
各种过滤...
测试代码为shell
版权声明：转载请注明来源 子非海绵宝宝@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-08-26 11:42
厂商回复：
感谢反馈！感谢乌云，非常感谢。
最新状态：
暂无