漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-075473
漏洞标题：某通用型学习系统两处任意密码修改到后台GetShell（影响数百所学校)
相关厂商：cncert国家互联网应急中心
漏洞作者： 魇
提交时间：2014-09-10 12:48
修复时间：2014-12-09 12:52
公开时间：2014-12-09 12:52
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-10： 细节已通知厂商并且等待厂商处理中
2014-09-15： 厂商已经确认，细节仅向厂商公开
2014-09-18： 细节向第三方安全合作伙伴开放
2014-11-09： 细节向核心白帽子及相关领域专家公开
2014-11-19： 细节向普通白帽子公开
2014-11-29： 细节向实习白帽子公开
2014-12-09： 细节向公众公开
简要描述：
BOOM!
详细说明：
前人漏洞： WooYun: 某通用型学习系统前台无限制Getshell（影响数百所学校)
由中央广播电视大学现代远程教育开发的一套资源中心系统存在任意帐号密码漏洞，后台可上传任意文件导致代码执行，影响全国所有分中心，几百所以上的学校。貌似主管是国家数字化学习资源中心。几乎涵盖全国所有省
谷歌搜索：http://music.google.cn/search?newwindow=1&site=webhp&source=hp&q=%E2%80%9C%E6%8A%80%E6%9C%AF%E6%94%AF%E6%8C%81%EF%BC%9A%E4%B8%AD%E5%A4%AE%E5%B9%BF%E6%92%AD%E7%94%B5%E8%A7%86%E5%A4%A7%E5%AD%A6%E7%8E%B0%E4%BB%A3%E8%BF%9C%E7%A8%8B%E6%95%99%E8%82%B2%E8%B5%84%E6%BA%90%E4%B8%AD%E5%BF%83%E2%80%9D&btnG=Google+%E6%90%9C%E7%B4%A2
找到约 4,770,000 条结果 （用时 0.15 秒）
影响实例：
漏洞证明：
以http://nerc.szpt.edu.cn/FrontEnd/default.aspx 深圳职业技术学院为例
前台忘记密码处，找回密码 http://nerc.szpt.edu.cn/frontend/member/FindPwd.aspx
（这里说明一下，该系统用户名注册自带后缀，且每个学校的后缀均不同，比如深圳职业技术学院是【用户名】:szzyj 管理员帐号默认为admin）
0x1: 找回管理员的帐号密码,也就是 admin:szzyj 提交之后查看源代码
0x2:注册一个帐号（填写密保问题答案）-找回密码-输入自己注册的帐号- 密保验证成功后到输入密码界面-修改参数-密码修改成功
例： 自注帐号 a123456:szzyj 提示问题： a123456 提示答案：a123456
讲hfID修改为6472dc67-13a7-49d7-9d72-1b063cdf4b32 （其中6472dc67-13a7-49d7-9d72-1b063cdf4b32就是admin帐号，这个hfID值是我通过第一个任意密码修改得出的，虽然不能实现任意密码修改 只能重置admin 但是admin是管理员帐号，只要重置了这个帐号就可以GetShell，而且经过我对其他站点的测试，这个hfID值是不变的）
然后是后台GetShell，经过任意密码修改漏洞我将admin:szzyj 密码修改为123456
在系统配置这里可以修改上传图片格式，加个|asp,直接上传一句话
修复方案：
版权声明：转载请注明来源 魇@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：17
确认时间：2014-09-15 10:36
厂商回复：
CNVD确认并复现所述情况（由上海交通大学网络信息中心协助完成），同时转报给教育网应急组织，由其后续协调处置。
最新状态：
暂无