漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073449
漏洞标题：通用型正方教务（通杀各版本）存在注入（不需登陆）+获得webshell+提权内网漫游
相关厂商：杭州正方
漏洞作者： sin
提交时间：2014-08-22 14:04
修复时间：2014-10-06 14:06
公开时间：2014-10-06 14:06
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：16
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-22： 细节已通知厂商并且等待厂商处理中
2014-08-27： 厂商已经确认，细节仅向厂商公开
2014-09-06： 细节向核心白帽子及相关领域专家公开
2014-09-16： 细节向普通白帽子公开
2014-09-26： 细节向实习白帽子公开
2014-10-06： 细节向公众公开
简要描述：
某个接口页面存在oracle盲注，可以获得当前用户数据库，dump教师用户表，分析密文加密特征(前人研究成果+基友助攻)，破译加密的密码。前台管理员登陆，后台文件上传基于黑名单原理，过滤u完全，上传特定文件，生成一句话。菜刀连接，大马提权。
详细说明：
百度搜索：“欢迎使用正方教务管理系统!请登录” 可获得几十页的词条。足见其通用。
存在注入点的页面为http://域名（ip）/xsxjxtdl.aspx
随便找个例子，做演示。
通过burp suite拦截，然后sqlmap加载进行post注入。
漏洞证明：
确定存在注入，为oracle的时间盲注（复现时可能比较纠结，时间可以加大一点，一次跑不出，可以跑2次），一般人可能到此就放弃了，但是像我们比较笨的人，只有更努力一点了。不幸中的万幸，前辈们开拓的很深入（致敬），正方的数据库结构已经很明了了。用户密码加密方式，乌云知识库也有讨论。
ps：①数据库结构： WooYun: 69个高校正方教务管理系统数据库任意操作 （向2位师兄致敬）
②加密方式：http://drops.wooyun.org/tips/847
WooYun: 方正教务系统sql注射
一般可以用--sql-shell进行快速提取（oracle权限分配比较死，权限比较低）。切正方如果默认数据库名改变，跑不出表的。
select YHM,KL from "YHB" where YHM like 'jw%';
权限高的可以，直接dump了。
-D ZFXFZB -T YHB -C “yhm,kl” --start 1 --start 50
会得到一些，用户名和密码。（配合社工效果更佳，搞到管理员和老师的账号应该不是很难）
接下来，又是一个很苦逼的活。知道账号，密码很难解出来，只有试探弱密码，好在很多老师账号密码一致。这里要感谢基友彗星的全力助攻。根据乌云知识库的原理，写出了软件。
基友说，凭借小学英语和运气的组合，终于搞出了key。
然后，然后...发现乌云已经有人爆出了key。
依稀记得当时的感觉,就像千万只小学生中从心中奔腾而过。：(
好，接下来。进管理后台，拿webshell。后台过滤的还是蛮严格的。
asp.aspx.asa.1.asp;.jpg等等...均失败
然后灵光一闪，以前貌似看过ashx可以.net中生成一句话的。
于是：
以免有的同学，友情监测，还是打码为好。
学校机器一般年老失修，，，提权简直是so easy。
然后读出，管理密码。
嗯，大家猜对了，教务管理的密码惊人的一致。减少了一些提权之繁琐。
上传图片太痛苦了，so卡，就不上图了（不知是乌云的问题还是我的网速问题）。
罗里吧嗦的说了这么多，其实就是锲而不舍，才能达到最后，也没什么特别的。
修复方案：
修复的话：①页面做好过滤，参数化传入，防止注入
②后台上传也要过滤好。
③再就是校方，软件及时更新，教师密码安全普及一下。服务器上安全狗什么的，不要总是清一色的360安全卫士。（安装360最近的服务器管家也好，360大哥我错了，不要打我）
版权声明：转载请注明来源 sin@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-08-27 10:15
厂商回复：
CNVD确认所述情况，未完全复现（确认第一层风险），已经根据以往建立的邮箱联系渠道向软件生产厂商通报。
最新状态：
暂无