漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045538
漏洞标题：中国煤炭贸促网多处越权操作成功上传shell
相关厂商：中国煤炭贸促网
漏洞作者： nauscript
提交时间：2013-12-17 11:46
修复时间：2014-01-31 11:47
公开时间：2014-01-31 11:47
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-17： 细节已通知厂商并且等待厂商处理中
2013-12-21： 厂商已经确认，细节仅向厂商公开
2013-12-31： 细节向核心白帽子及相关领域专家公开
2014-01-10： 细节向普通白帽子公开
2014-01-20： 细节向实习白帽子公开
2014-01-31： 细节向公众公开
简要描述：
中国煤炭贸促网多处越权操作、配合部分目录遍历成功上传shell
详细说明：
遍历目录：
正是这些可遍历的目录下涉及到了后台的一些操作功能，而这些页面却没有加任何访问限制和操作权限限制
当然可以越权操作的页面远不止这些
漏洞证明：
从上面的图就可以看出，网站显然已经被光顾过了，在网站上果然找到了两处后门，在服务器上更是有很多重要的数据文件和备份文件，光这个网站的打包就有3G！
而且根据较早上传的一个后门以及存放后门的文件夹下留存的国外的提权工具大致猜测在2012年7月该网站就以及被一名国外的黑客光顾过（仅仅是猜测）
网站涉及到我国煤炭、煤电行业的重要信息和指数发布，信息较为权威，而网站越权操作也将会间接影响到煤炭现货市场的交易，同站的其他相关行业网站也会受到威胁。望及时修复
修复方案：
# 1、在Tomcat的conf/web.xml文件里把listings值改为false。修改httpd.conf后，重启web服务即可避免Tomcat目录遍历
# 2、对后台操作的各个功能页面要加上权限限制，防止越权操作，对于上传文件的类型要做限制
版权声明：转载请注明来源 nauscript@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：14
确认时间：2013-12-21 23:07
厂商回复：
CNVD确认并复现所述情况，按权限绕过和安全事件综合评分，rank 14
最新状态：
暂无