漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0165160
漏洞标题：rockoa后台漏洞大礼包
相关厂商：Rockoa
漏洞作者： Gump
提交时间：2015-12-30 23:32
修复时间：2016-02-12 18:49
公开时间：2016-02-12 18:49
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-30： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-02-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
rockoa v2.2.1漏洞大礼包
详细说明：
做了下审计，打了个包
首先我们先登录一个普通权限的用户，如测试账号lvbu，密码123456
然后访问http://xxx.com/rock.php?a=loadinfor&m=userinfor&d=humanres&id=1&ajaxbool=true
通过修改id值即可获取不同用户的信息，包括md5加密后的密码
好，到文件操作部分
首先是任意文件夹读取，访问http://xxx.com/rock.php?a=getsysfilod&m=dir&d=system&ajaxbool=true
列出文件
访问http://xxx.com/rock.php?a=getfile&m=dir&d=system&ajaxbool=true
文件下载
访问http://xxx.com/rock.php?a=open&m=dir&d=system&ajaxbool=true&path=webrock/webrockConfig.php
其实下载后打开的内容是webrockConfig.php里的内容
可解密，这里我换成了*号
解密调用图里的函数
获得数据库账号密码后，很少人会删除掉webrock下的install目录，官网demo也没有，造成本地重装漏洞
这里就不拿官方demo做演示了
好，到getshell部分了
首先我们先到网盘的地方上传一个改了后缀名为jpg的一句话文件
点击下载获得链接
http://demo.rockoa.com/upload/2015-12/27_0202571895.jpg
这里再利用另外一个漏洞，重命名
官网demo已getshell
地址http://demo.rockoa.com/upload/2015-12/123.php，passwd：wooyun，请及时删除
以上漏洞均可在http://demo.rockoa.com/重现
漏洞证明：
修复方案：
权限限制好，删掉安装文件
版权声明：转载请注明来源 Gump@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝