漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-039154
漏洞标题：安财费用报销系统V7.6.3.16存在任意文件上传漏洞及可任意文件遍历获取所有用户信息
相关厂商：安财(www.acsoft.com.cn)
漏洞作者： 袋鼠妈妈
提交时间：2013-10-09 08:38
修复时间：2013-11-23 08:39
公开时间：2013-11-23 08:39
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-09： 细节已通知厂商并且等待厂商处理中
2013-10-13： 厂商已经确认，细节仅向厂商公开
2013-10-23： 细节向核心白帽子及相关领域专家公开
2013-11-02： 细节向普通白帽子公开
2013-11-12： 细节向实习白帽子公开
2013-11-23： 细节向公众公开
简要描述：
1.安财费用报销系统V7.6.3.16存在任意文件上传漏洞，虽然对比7.0对文件格式做了限制，但效果有限
2.可任意文件遍历获取所有用户信息
详细说明：
测试站点:http://demo.51able.com/ 同样属于杭州安财软件有限公司
一、
1.继续利用其测试账户登入 TC001
2.点击“费用报销”-“新建报销单”（我这里在chrome里无法显示，换的IE），照例随便选择一个报销类型，点击右上角的“附件”
3.依旧添加附件，这次选一个.exe后缀试试，
对的，点击“保存”之后，会提示上传的文件格式有误，但其实文件已经上传.
4.由于其可以遍历目录(7.0也一样),根据7.0的路径，找到文件目录FormAttFile/翻查，最终依然找到了刚刚上传的exe，前面的警告提示如同虚设
二、
1.按图索骥，遍历目录时发现WebServices,平时见过觉得熟悉，
(Web Services 可使您的应用程序成为 Web 应用程序。 通过 Web 进行发布、查找和使用，基础的 Web Services 平台是 XML + HTTP
)
进去有文件WebServiceSSOUser.asmx，点进去发现GetUserList,一堆的用户名及MD5密码,由于demo站点用户较少，找了个多的截图
照例，通过web.config中的sa密码连接内网数据库
OVER:每个公司报销系统内部定义的用户名规则不一样，故流程该是先用webservices获取站点的用户密码，登录后再通过上传网马获取权限。
漏洞证明：
修复方案：
限制上传格式及目录遍历？请专家定夺
版权声明：转载请注明来源 袋鼠妈妈@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2013-10-13 21:25
厂商回复：
最新状态：
暂无