当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072579

漏洞标题：无意的一次测试获得通用型漏洞(关系某省的公安信息)

相关厂商：cncert国家互联网应急中心

漏洞作者： xlz0iza1

提交时间：2014-08-18 12:05

修复时间：2014-10-02 12:08

公开时间：2014-10-02 12:08

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-18： 细节已通知厂商并且等待厂商处理中
2014-08-23： 厂商已经确认，细节仅向厂商公开
2014-09-02： 细节向核心白帽子及相关领域专家公开
2014-09-12： 细节向普通白帽子公开
2014-09-22： 细节向实习白帽子公开
2014-10-02： 细节向公众公开

简要描述：

RT

详细说明：

好无聊啊，无意弄到一点SA了，虽然不是很多，我喜欢跟别人不一样的密码，既让我遇上了降权的，实战记录的此文档，所以写得比较简洁了点，SA权限能执行cmd命令赋予guest权限。
某公安互助报警综合服务系统。
http://58.221.185.221:88/

1.jpg


一次无意的挖掘。

漏洞证明：

相关案例：

通用的sa密码：
      58.221.185.221 用户sa 密码：sqlpwd
      218.91.211.2   用户sa 密码：sqlpwd
      218.91.211.3   用户sa 密码：sqlpwd
      通用的web程序：
      http://58.221.185.221:88/
      http://218.91.211.3:88/
      http://218.91.211.2:88/


开始记录全部过程吧，获得通用的sa密码，然后想进一步的谅解。
无意发现了这个枚sa密码，

2.jpg


于是想提权，比较渗透测试中，要为用户列举到最大危害程度，和修复方案。
通过常用的命令收集信息。

3.jpg


4.jpg


发现web端口为88，远程终端为9001

5.jpg


sa降权了，不过还是有guest的权限，果断来写shell吧。

6.jpg


提权步骤就不详细说明了，因为这用了很多时间，服务器补丁和限制很多、
开始一提权服务器就挂掉。

7.jpg


好吧，我想说我是无奈，等到服务器重启以后，换了一个exp果断的提权下了服务器。

8.jpg


提权到服务器，于是果断进入服务器看源码，挖掘下源码中有撒权限的。
文件：/charger/upinc/upload_flash.asp（3~6行）

uppath=request("uppath")&"/"			
filelx=request("filelx")				
formName=request("formName")			
EditName=request("EditName")


很明显这里的uppath是自己定义的&"/" 后面的”/”是把文件上传的跟目录的意思

9.jpg


完全没有对uppath进行任何处理，然后我们再来看upfile_flash.asp文件，代码我就不贴出来了。

10.jpg


很明显只是对filelx进行了判断，白名单后缀~对于IIS漏洞来说结合利用的话，过来没有很合作用啊。
然后下面案例复现上传漏洞：

11.jpg


直接上传一句话木马啊，嘎嘎~
Getshell就这么出来啦，嘎嘎~

12.jpg


13.jpg


案例二：

14.jpg


15.jpg


通过上面，不怎么清晰的讲解中，获得了通用的sa弱口令，上传漏洞。

修复方案：

不要忽视小安全~

版权声明：转载请注明来源 xlz0iza1@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-08-23 11:58

厂商回复：

CNVD确认所述情况，未能确认软件开发厂商，根据测试实例，已经转由CNCERT下发给江苏分中心处置。

最新状态：

暂无