当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0170328

漏洞标题：台湾新保租车网getshell（可渗透内网）（臺灣地區）

相关厂商：新保租车

漏洞作者： lsx

提交时间：2016-01-16 10:27

修复时间：2016-02-27 11:49

公开时间：2016-02-27 11:49

漏洞类型：命令执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(Hitcon台湾互联网漏洞报告平台)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-16： 细节已通知厂商并且等待厂商处理中
2016-01-17： 厂商已经确认，细节仅向厂商公开
2016-01-27： 细节向核心白帽子及相关领域专家公开
2016-02-06： 细节向普通白帽子公开
2016-02-16： 细节向实习白帽子公开
2016-02-27： 细节向公众公开

简要描述：

台湾新保租车网存在远程代码执行漏洞，获取getshell，并渗透内网

详细说明：

台湾新保租车网（http://**.**.**.**/index.php/zh/）使用模板为joomla，存在远程代码执行漏洞，可获取webshell，然后渗透内网。

漏洞证明：

webshell：

Capture6.JPG


内网主机：

Capture11.JPG


抓hash破解密码为P@ssw0rd。利用kali设置代理，远程桌面连接：

Capture5.JPG


扫描内网端口：

msf auxiliary(tcp) > exploit
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**:25 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**:25 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**0:80 - TCP OPEN
[*] **.**.**.**0:443 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**1:3389 - TCP OPEN
[*] **.**.**.**1:445 - TCP OPEN
[*] **.**.**.**9:445 - TCP OPEN
[*] **.**.**.**9:3389 - TCP OPEN
[*] **.**.**.**7:21 - TCP OPEN
[*] **.**.**.**5:3389 - TCP OPEN
[*] **.**.**.**6:25 - TCP OPEN
[*] **.**.**.**7:25 - TCP OPEN
[*] **.**.**.**7:80 - TCP OPEN
[*] **.**.**.**9:80 - TCP OPEN
[*] **.**.**.**3:445 - TCP OPEN
[*] **.**.**.**3:80 - TCP OPEN
[*] **.**.**.**3:3389 - TCP OPEN
[*] **.**.**.**5:80 - TCP OPEN
[*] **.**.**.**8:21 - TCP OPEN
[*] **.**.**.**8:25 - TCP OPEN
[*] **.**.**.**6:21 - TCP OPEN
[*] **.**.**.**5:445 - TCP OPEN
[*] **.**.**.**7:80 - TCP OPEN
[*] **.**.**.**5:80 - TCP OPEN
[*] **.**.**.**7:445 - TCP OPEN
[*] **.**.**.**7:3389 - TCP OPEN
[*] **.**.**.**2:25 - TCP OPEN
[*] **.**.**.**3:445 - TCP OPEN
[*] **.**.**.**3:3389 - TCP OPEN
[*] **.**.**.**2:80 - TCP OPEN
[*] **.**.**.**0:3389 - TCP OPEN
[*] **.**.**.**1:80 - TCP OPEN
[*] **.**.**.**2:21 - TCP OPEN
[*] **.**.**.**7:21 - TCP OPEN
[*] **.**.**.**3:25 - TCP OPEN
[*] **.**.**.**3:80 - TCP OPEN
[*] **.**.**.**2:445 - TCP OPEN
[*] **.**.**.**1:21 - TCP OPEN
[*] **.**.**.**0:445 - TCP OPEN
[*] **.**.**.**2:443 - TCP OPEN
[*] **.**.**.**0:443 - TCP OPEN
[*] **.**.**.**9:445 - TCP OPEN
[*] **.**.**.**3:25 - TCP OPEN
[*] **.**.**.**3:3389 - TCP OPEN
[*] **.**.**.**9:80 - TCP OPEN
[*] **.**.**.**9:3389 - TCP OPEN
[*] **.**.**.**8:21 - TCP OPEN
[*] **.**.**.**2:80 - TCP OPEN
[*] **.**.**.**0:25 - TCP OPEN
[*] **.**.**.**0:22 - TCP OPEN
[*] **.**.**.**8:445 - TCP OPEN
[*] **.**.**.**8:3389 - TCP OPEN
[*] **.**.**.**8:443 - TCP OPEN
[*] **.**.**.**8:3306 - TCP OPEN
[*] Scanned  31 of 255 hosts (12% complete)
[*] **.**.**.**8:80 - TCP OPEN
[*] **.**.**.**8:3306 - TCP OPEN
[*] **.**.**.**8:22 - TCP OPEN
[*] **.**.**.**8:443 - TCP OPEN
[*] **.**.**.**7:3389 - TCP OPEN
[*] **.**.**.**6:445 - TCP OPEN
[*] **.**.**.**9:80 - TCP OPEN
[*] **.**.**.**9:443 - TCP OPEN
[*] **.**.**.**5:445 - TCP OPEN
[*] **.**.**.**6:3389 - TCP OPEN
[*] **.**.**.**6:80 - TCP OPEN
[*] **.**.**.**5:3389 - TCP OPEN
[*] **.**.**.**4:443 - TCP OPEN
[*] **.**.**.**5:25 - TCP OPEN
[*] **.**.**.**5:80 - TCP OPEN
[*] **.**.**.**7:445 - TCP OPEN
[*] **.**.**.**7:80 - TCP OPEN
[*] **.**.**.**2:445 - TCP OPEN
[*] **.**.**.**3:3389 - TCP OPEN
[*] **.**.**.**6:21 - TCP OPEN
[*] **.**.**.**5:80 - TCP OPEN
[*] **.**.**.**5:25 - TCP OPEN
[*] **.**.**.**6:22 - TCP OPEN
[*] **.**.**.**6:80 - TCP OPEN
[*] **.**.**.**6:443 - TCP OPEN
[*] **.**.**.**6:445 - TCP OPEN
[*] **.**.**.**5:443 - TCP OPEN
[*] **.**.**.**5:22 - TCP OPEN
[*] **.**.**.**:443 - TCP OPEN
[*] **.**.**.**9:1433 - TCP OPEN
[*] **.**.**.**8:3389 - TCP OPEN
[*] **.**.**.**9:3389 - TCP OPEN
[*] **.**.**.**9:80 - TCP OPEN
[*] **.**.**.**9:445 - TCP OPEN
[*] **.**.**.**8:445 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] Scanned  53 of 255 hosts (20% complete)
[*] **.**.**.**:22 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:22 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**:443 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:25 - TCP OPEN
[*] **.**.**.**:1433 - TCP OPEN
[*] **.**.**.**:443 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:1433 - TCP OPEN
[*] **.**.**.**:3306 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**:25 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:443 - TCP OPEN
[*] **.**.**.**:445 - TCP OPEN
[*] **.**.**.**:443 - TCP OPEN
[*] **.**.**.**:1433 - TCP OPEN
[*] **.**.**.**:3306 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:3389 - TCP OPEN
[*] **.**.**.**:21 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] Scanned  79 of 255 hosts (30% complete)
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**:80 - TCP OPEN
[*] **.**.**.**0:80 - TCP OPEN
[*] **.**.**.**0:21 - TCP OPEN
[*] **.**.**.**1:445 - TCP OPEN
[*] **.**.**.**2:25 - TCP OPEN
[*] **.**.**.**1:3389 - TCP OPEN
[*] **.**.**.**3:21 - TCP OPEN
[*] **.**.**.**0:3389 - TCP OPEN
[*] **.**.**.**0:445 - TCP OPEN
[*] **.**.**.**0:443 - TCP OPEN
[*] **.**.**.**0:1433 - TCP OPEN
[*] **.**.**.**3:445 - TCP OPEN
[*] **.**.**.**2:21 - TCP OPEN
[*] **.**.**.**3:3306 - TCP OPEN
[*] **.**.**.**3:3389 - TCP OPEN
[*] **.**.**.**3:80 - TCP OPEN
[*] **.**.**.**2:443 - TCP OPEN
[*] **.**.**.**2:80 - TCP OPEN
[*] **.**.**.**2:445 - TCP OPEN
[*] **.**.**.**2:1433 - TCP OPEN
[*] **.**.**.**7:445 - TCP OPEN
[*] **.**.**.**8:3389 - TCP OPEN
[*] **.**.**.**7:3389 - TCP OPEN
[*] **.**.**.**6:3389 - TCP OPEN
[*] **.**.**.**6:445 - TCP OPEN
[*] **.**.**.**4:80 - TCP OPEN
[*] **.**.**.**00:3389 - TCP OPEN
[*] **.**.**.**4:443 - TCP OPEN
[*] **.**.**.**5:3389 - TCP OPEN
[*] **.**.**.**9:443 - TCP OPEN
[*] **.**.**.**00:25 - TCP OPEN
[*] **.**.**.**5:445 - TCP OPEN
[*] **.**.**.**01:445 - TCP OPEN
[*] **.**.**.**09:443 - TCP OPEN
[*] **.**.**.**09:80 - TCP OPEN
[*] **.**.**.**09:22 - TCP OPEN
[*] Scanned 102 of 255 hosts (40% complete)
[*] **.**.**.**10:445 - TCP OPEN
[*] **.**.**.**10:3306 - TCP OPEN
[*] **.**.**.**10:80 - TCP OPEN
[*] **.**.**.**10:21 - TCP OPEN
[*] **.**.**.**17:80 - TCP OPEN
[*] **.**.**.**16:443 - TCP OPEN
[*] **.**.**.**14:80 - TCP OPEN
[*] **.**.**.**15:80 - TCP OPEN
[*] **.**.**.**16:22 - TCP OPEN
[*] **.**.**.**16:80 - TCP OPEN
[*] **.**.**.**19:21 - TCP OPEN
[*] **.**.**.**19:443 - TCP OPEN
[*] **.**.**.**19:80 - TCP OPEN
[*] **.**.**.**26:3389 - TCP OPEN
[*] **.**.**.**25:80 - TCP OPEN
[*] **.**.**.**25:22 - TCP OPEN
[*] **.**.**.**26:25 - TCP OPEN
[*] **.**.**.**19:22 - TCP OPEN
[*] **.**.**.**26:445 - TCP OPEN
[*] **.**.**.**29:80 - TCP OPEN
[*] Scanned 128 of 255 hosts (50% complete)
[*] **.**.**.**40:443 - TCP OPEN
[*] **.**.**.**40:445 - TCP OPEN
[*] **.**.**.**40:1433 - TCP OPEN
[*] **.**.**.**38:445 - TCP OPEN
[*] **.**.**.**38:3389 - TCP OPEN
[*] **.**.**.**42:1433 - TCP OPEN
[*] **.**.**.**42:25 - TCP OPEN
[*] **.**.**.**42:3389 - TCP OPEN
[*] **.**.**.**40:80 - TCP OPEN
[*] **.**.**.**42:80 - TCP OPEN
[*] **.**.**.**42:445 - TCP OPEN
[*] **.**.**.**49:80 - TCP OPEN
[*] **.**.**.**53:80 - TCP OPEN
[*] **.**.**.**54:445 - TCP OPEN
[*] **.**.**.**54:25 - TCP OPEN
[*] **.**.**.**54:80 - TCP OPEN
[*] **.**.**.**54:3389 - TCP OPEN
[*] **.**.**.**54:443 - TCP OPEN
[*] **.**.**.**54:21 - TCP OPEN
[*] **.**.**.**57:80 - TCP OPEN
[*] **.**.**.**57:3389 - TCP OPEN
[*] **.**.**.**55:445 - TCP OPEN
[*] **.**.**.**55:443 - TCP OPEN
[*] **.**.**.**55:3306 - TCP OPEN
[*] **.**.**.**55:3389 - TCP OPEN
[*] **.**.**.**55:80 - TCP OPEN
[*] **.**.**.**57:1433 - TCP OPEN
[*] **.**.**.**57:445 - TCP OPEN
[*] Scanned 156 of 255 hosts (61% complete)
[*] **.**.**.**61:445 - TCP OPEN
[*] **.**.**.**61:3389 - TCP OPEN
[*] **.**.**.**58:1433 - TCP OPEN
[*] **.**.**.**58:445 - TCP OPEN
[*] **.**.**.**58:3389 - TCP OPEN
[*] **.**.**.**58:80 - TCP OPEN
[*] **.**.**.**72:80 - TCP OPEN
[*] **.**.**.**72:3389 - TCP OPEN
[*] **.**.**.**72:445 - TCP OPEN
[*] **.**.**.**67:445 - TCP OPEN
[*] **.**.**.**67:3389 - TCP OPEN
[*] **.**.**.**71:161 - TCP OPEN
[*] **.**.**.**71:445 - TCP OPEN
[*] **.**.**.**71:80 - TCP OPEN
[*] **.**.**.**73:445 - TCP OPEN
[*] **.**.**.**73:3389 - TCP OPEN
[*] **.**.**.**73:443 - TCP OPEN
[*] **.**.**.**81:80 - TCP OPEN
[*] **.**.**.**77:445 - TCP OPEN
[*] **.**.**.**84:3389 - TCP OPEN
[*] **.**.**.**84:445 - TCP OPEN
[*] Scanned 182 of 255 hosts (71% complete)
[*] **.**.**.**90:22 - TCP OPEN
[*] **.**.**.**90:443 - TCP OPEN
[*] **.**.**.**90:80 - TCP OPEN
[*] **.**.**.**88:80 - TCP OPEN
[*] **.**.**.**86:445 - TCP OPEN
[*] **.**.**.**87:3389 - TCP OPEN
[*] **.**.**.**86:3389 - TCP OPEN
[*] **.**.**.**87:21 - TCP OPEN
[*] **.**.**.**87:1433 - TCP OPEN
[*] **.**.**.**87:80 - TCP OPEN
[*] **.**.**.**87:445 - TCP OPEN
[*] **.**.**.**91:1433 - TCP OPEN
[*] **.**.**.**91:3389 - TCP OPEN
[*] **.**.**.**91:445 - TCP OPEN
[*] **.**.**.**96:3389 - TCP OPEN
[*] **.**.**.**96:445 - TCP OPEN
[*] **.**.**.**02:80 - TCP OPEN
[*] **.**.**.**02:445 - TCP OPEN
[*] **.**.**.**04:445 - TCP OPEN
[*] **.**.**.**01:445 - TCP OPEN
[*] **.**.**.**06:22 - TCP OPEN
[*] **.**.**.**06:443 - TCP OPEN
[*] **.**.**.**07:445 - TCP OPEN
[*] **.**.**.**07:3389 - TCP OPEN
[*] Scanned 204 of 255 hosts (80% complete)
[*] **.**.**.**12:80 - TCP OPEN
[*] **.**.**.**10:443 - TCP OPEN
[*] **.**.**.**10:80 - TCP OPEN
[*] **.**.**.**08:3389 - TCP OPEN
[*] **.**.**.**10:22 - TCP OPEN
[*] **.**.**.**11:80 - TCP OPEN
[*] **.**.**.**08:80 - TCP OPEN
[*] **.**.**.**08:1433 - TCP OPEN
[*] **.**.**.**08:443 - TCP OPEN
[*] **.**.**.**08:21 - TCP OPEN
[*] **.**.**.**08:445 - TCP OPEN
[*] **.**.**.**16:443 - TCP OPEN
[*] **.**.**.**16:445 - TCP OPEN
[*] **.**.**.**24:80 - TCP OPEN
[*] **.**.**.**22:80 - TCP OPEN
[*] **.**.**.**23:80 - TCP OPEN
[*] **.**.**.**29:445 - TCP OPEN
[*] **.**.**.**29:3389 - TCP OPEN
[*] **.**.**.**31:3389 - TCP OPEN
[*] **.**.**.**35:21 - TCP OPEN
[*] **.**.**.**35:445 - TCP OPEN
[*] **.**.**.**35:3389 - TCP OPEN
[*] **.**.**.**34:445 - TCP OPEN
[*] **.**.**.**34:3389 - TCP OPEN
[*] Scanned 232 of 255 hosts (90% complete)
[*] **.**.**.**40:21 - TCP OPEN
[*] **.**.**.**40:80 - TCP OPEN
[*] **.**.**.**40:3306 - TCP OPEN
[*] **.**.**.**40:3389 - TCP OPEN
[*] **.**.**.**40:445 - TCP OPEN
[*] **.**.**.**39:1433 - TCP OPEN
[*] **.**.**.**39:445 - TCP OPEN
[*] **.**.**.**39:3389 - TCP OPEN
[*] **.**.**.**39:443 - TCP OPEN
[*] **.**.**.**39:80 - TCP OPEN
[*] **.**.**.**37:443 - TCP OPEN
[*] **.**.**.**38:443 - TCP OPEN
[*] **.**.**.**43:443 - TCP OPEN
[*] **.**.**.**43:22 - TCP OPEN
[*] **.**.**.**46:443 - TCP OPEN
[*] **.**.**.**45:80 - TCP OPEN
[*] **.**.**.**49:443 - TCP OPEN
[*] **.**.**.**45:443 - TCP OPEN
[*] **.**.**.**50:80 - TCP OPEN
[*] **.**.**.**49:80 - TCP OPEN
[*] **.**.**.**49:1433 - TCP OPEN
[*] **.**.**.**54:443 - TCP OPEN
[*] Scanned 255 of 255 hosts (100% complete)
[*] Auxiliary module execution completed


访问内部网络：

Capture2.JPG


Capture.JPG


Capture3.JPG


Capture4.JPG


内网机器太多，这里只简单访问80端口。自己水平有限，只能渗透到这里了。

修复方案：

修复joomla

版权声明：转载请注明来源 lsx@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2016-01-17 18:55

厂商回复：

感謝通報

最新状态：

暂无