漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0107395
漏洞标题：中信银行某业务存在任意文件上传漏洞
相关厂商：中信银行
漏洞作者： JotPot
提交时间：2015-04-12 11:39
修复时间：2015-05-30 11:48
公开时间：2015-05-30 11:48
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-12： 细节已通知厂商并且等待厂商处理中
2015-04-15： 厂商已经确认，细节仅向厂商公开
2015-04-25： 细节向核心白帽子及相关领域专家公开
2015-05-05： 细节向普通白帽子公开
2015-05-15： 细节向实习白帽子公开
2015-05-30： 细节向公众公开
简要描述：
可以上传jsp文件并能正常运行，仅作测试，不敢深入，不要来查水表
详细说明：
晚上没事看看银行有没有什么招聘信息，顺便找几个注册了一下。为什么找招聘呢？因为招聘可以上传头像。有些银行对上传文件进行了服务器端的类型检查，但是中信银行并没有检查，看我如何进入。（上次深夜的那几个大大没给过，这个应该可以过吧）
注册帐号什么的都不敷衍了，无非是去网上搜一个身份证然后构造一个邮箱就可以注册了。
就从注册成功开始吧。
现在来填简历，如下图，有一个上传照片的地方
查看上传照片部分的源码，发现前台做了文件后缀的控制
不过，这个并难不倒白帽，用fiddler就可以搞定，如下
将判断条件改掉
重新请求页面后，autoreponse生效了，如下：
这时候构造我的jsp脚本
这时候点击上传，神奇的发现服务器端没有校验文件类型即可上传成功，并返回了文件路径，如下：
但是这个路径并不全，怎么样访问这个功能呢？填写简历一定有预览简历，一不做二不休继续，
保存简历，预览简历
预览简历，果然看到照片的地方显示红叉
查看简历源码，找到照片的路径：
然后访问这个地址，成了！
到此结束，不敢深入。如果上传的是jspshell，那么深入内网、获取数据库信息等都可以做到了。
漏洞证明：
晚上没事看看银行有没有什么招聘信息，顺便找几个注册了一下。为什么找招聘呢？因为招聘可以上传头像。有些银行对上传文件进行了服务器端的类型检查，但是中信银行并没有检查，看我如何进入。
注册帐号什么的都不敷衍了，无非是去网上搜一个身份证然后构造一个邮箱就可以注册了。
就从注册成功开始吧。
现在来填简历，如下图，有一个上传照片的地方
查看上传照片部分的源码，发现前台做了文件后缀的控制
不过，这个并难不倒白帽，用fiddler就可以搞定，如下
将判断条件改掉
重新请求页面后，autoreponse生效了，如下：
这时候构造我的jsp脚本
这时候点击上传，神奇的发现服务器端没有校验文件类型即可上传成功，并返回了文件路径，如下：
但是这个路径并不全，怎么样访问这个功能呢？填写简历一定有预览简历，一不做二不休继续，
保存简历，预览简历
预览简历，果然看到照片的地方显示红叉
查看简历源码，找到照片的路径：
然后访问这个地址，成了！
到此结束，不敢深入。如果上传的是jspshell，那么深入内网、获取数据库信息等都可以做到了。
修复方案：
对上传文件类型在服务器端进行限制！！！！
版权声明：转载请注明来源 JotPot@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2015-04-15 11:46
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT直接通报给对应银行集团公司,由其后续协调网站管理部门处置.
最新状态：
暂无