当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0136996

漏洞标题:智齿客服系统多种漏洞打包可影响大量企业(WebIM黑盒测试技巧)

相关厂商:sobot.com

漏洞作者: 子非海绵宝宝

提交时间:2015-08-26 10:30

修复时间:2015-11-24 11:44

公开时间:2015-11-24 11:44

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-26: 细节已通知厂商并且等待厂商处理中
2015-08-26: 厂商已经确认,细节仅向厂商公开
2015-08-29: 细节向第三方安全合作伙伴开放
2015-10-20: 细节向核心白帽子及相关领域专家公开
2015-10-30: 细节向普通白帽子公开
2015-11-09: 细节向实习白帽子公开
2015-11-24: 细节向公众公开

简要描述:

各种漏洞直到主站shell
影响数千企业

详细说明:

我们建立一个客服系统进行演示
主要漏洞1:前台打后台XSS
在前台转人工服务后 点击图像上传,并截断

1.jpg


将图片信息参数替换为xss

2.jpg


3.jpg


我们看下后台

4.jpg


成功触发XSS
主要漏洞2:历遍全部用户并xss
在接入移动网络的自定义聊天窗口文案出可以形成XSS

6.jpg


5.jpg


但是这个地方的XSS本身是毫无意义的因为只能X自己,但是我们看下他的数据包
首先是的他长度只在前台进行了限制 直接修改包即可绕过

7.jpg


其次是他的id参数3355这个是我们的用户ID
这里是存在越权的,历遍这个ID即可历遍全部用户

8.jpg


轻轻松松几十个cookie
其中包括了客服官方自己的cookie,一些比较大的企业.
这里我就不截图了
主要漏洞3:系统shell
这套系统是可以直接shell
奇怪的是大部分上传都是到cdn或者专门的图片服务器 只有这里是主站服务器 并且上传只做了前台过滤

9.jpg


不过注意的是他的目录好像做了限制并不解析但是我们看包

10.jpg


其中一个ID参数被带入了路径
这就好办了 把id改成../haha 即可放到其他目录
http://www.sobot.com/console//haha/logo/20c7508fb91d478cb18d85503ec6d769.jsp?pwd=023&i=id

11.jpg


成功shell 并且这套系统好像默认是root权限....其他几个系统地址也是root
主要漏洞4:后台X前台
有人说这个后台X前台没什么用啊
但是你要知道,他的客服系统是可以镶嵌在各大企业的页面的,也就是说可以直接X用户的用户
方法和前台X后台一样的 后台截包改包即可

12.jpg

漏洞证明:

如上

修复方案:

各种过滤...
测试代码为shell

版权声明:转载请注明来源 子非海绵宝宝@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-08-26 11:42

厂商回复:

感谢反馈!感谢乌云,非常感谢。

最新状态:

暂无