当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0132987

漏洞标题：浙江省教育技术中心某站漏洞打包并getshell

相关厂商：浙江省教育技术中心

漏洞作者： 想个霸气的名字好难

提交时间：2015-08-10 10:26

修复时间：2015-09-24 16:08

公开时间：2015-09-24 16:08

漏洞类型：成功的入侵事件

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-10： 细节已通知厂商并且等待厂商处理中
2015-08-10： 厂商已经确认，细节仅向厂商公开
2015-08-20： 细节向核心白帽子及相关领域专家公开
2015-08-30： 细节向普通白帽子公开
2015-09-09： 细节向实习白帽子公开
2015-09-24： 细节向公众公开

简要描述：

一切由一个弱口令引发

详细说明：

http://122.225.201.204:8081/login.aspx 登录接口无限制，burp 发包爆破 得弱口令一枚chenying 12345678 登录系统界面见下图

index.jpg


进去后左看看，右瞧瞧，发现任意文件下载一处：
http://122.225.201.204:8081/CodeTree/DownFile.aspx?fileurl=UpFile/../web.config
遂得mssql连接：

<connectionStrings>
		<add name="kjmisConnectionString" connectionString="Data Source=jytoavm04;Initial Catalog=kjmis_zjjky;User ID=sa;Password=jky#2014" providerName="System.Data.SqlClient" />
		<!-- 程序和数据库不在同一台服务器上设置值net use z: \\192.1.1.176\c$\DB 1 /user:192.1.1.176\administrator，如果在同一台机器上设置为空 -->
		<add name="networkdevice" connectionString="" />
		<add name="DatabaseName" connectionString="kjmis_zjjky" />
	</connectionStrings>


还好1433不对外开放
继续到处翻翻，发现sql注入一枚：http://122.225.201.204:8081/help.aspx?Id=5
sqlmap跑下：

sql.png


嫌sqlmap跑的慢，再到处看看，于是发现任意文件上传一处（致命伤）：

upfile.png


直接上传任意文件，都不带改包的！
最后：

webshell.png

漏洞证明：

<connectionStrings>
		<add name="kjmisConnectionString" connectionString="Data Source=jytoavm04;Initial Catalog=kjmis_zjjky;User ID=sa;Password=jky#2014" providerName="System.Data.SqlClient" />
		<!-- 程序和数据库不在同一台服务器上设置值net use z: \\192.1.1.176\c$\DB 1 /user:192.1.1.176\administrator，如果在同一台机器上设置为空 -->
		<add name="networkdevice" connectionString="" />
		<add name="DatabaseName" connectionString="kjmis_zjjky" />
	</connectionStrings>


sql.png


webshell.png

修复方案：

强制密码策略；登录限制；过滤；上传文件类型限制；上传文件夹权限控制。。。。。
upfile文件夹，有马记得删除！

版权声明：转载请注明来源 想个霸气的名字好难@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-08-10 16:07

厂商回复：

感谢小伙伴的提醒！

最新状态：

暂无