当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-052699

漏洞标题：大汉xxgk（政府信息公开）系统某处越权+getshell

相关厂商：南京大汉网络有限公司

漏洞作者： wefgod

提交时间：2014-03-04 12:25

修复时间：2014-06-02 12:26

公开时间：2014-06-02 12:26

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-04： 细节已通知厂商并且等待厂商处理中
2014-03-04： 厂商已经确认，细节仅向厂商公开
2014-03-07： 细节向第三方安全合作伙伴开放
2014-04-28： 细节向核心白帽子及相关领域专家公开
2014-05-08： 细节向普通白帽子公开
2014-05-18： 细节向实习白帽子公开
2014-06-02： 细节向公众公开

简要描述：

政府信息公开系统的getshell。和前两天发的那个拿shell方式是不一样的。

详细说明：

越权发生在setup/opr_setting.jsp
拿shell是在上传license文件的jsp中setup/opr_licenceinfo.jsp

漏洞证明：

<%
	String strRealPath = application.getRealPath("");
	
	strRealPath = strRealPath.replace('\\','/');
	if(strRealPath.endsWith("/")) 
		strRealPath = strRealPath.substring(0, strRealPath.length() - 1);
	//系统路径
	jcms.sys.Install install = new jcms.sys.Install( strRealPath );
	install.setMerpHome( );
	
	String servername = Convert.getParameter( request,"servername");
	servername = servername.toLowerCase();
	String jndi = Convert.getParameter( request,"jndi");
	String adminpwd = Convert.getParameter( request,"adminpwd");
	String dbtypename = Convert.getParameter( request,"dbtypename");
	dbtypename = dbtypename.toLowerCase();	
	//写merpserver.ini配置文件
	String iniPath = strRealPath + "/WEB-INF/ini/merpserver.ini";
	boolean bl = false;
	String strMsg = "";
	IniFile ini = new IniFile( iniPath );
………………


木有权限的验证。
直接访问http://xxgk.yzcity.gov.cn/govdiropen/setup/opr_setting.jsp
可以直接清空setup后台的配置数据。

image001.png


此时已经将setup的登录密码清空。（有风险，请勿随意尝试，不要跟着我犯错……）
提交数据的时候清空密码即可登录成功

image002.png


image004.png


这里有上传licence文件的选项，直接上传一个jsp.licence，然后改包，修改文件名为"jsp.jsp"，

image006.png


image008.png


成功，连之

image009.png

修复方案：

唉唉。

版权声明：转载请注明来源 wefgod@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-03-04 13:36

厂商回复：

非常感谢您对大汉产品的关注以及对产品安全方面的指正，涉及问题已在新版本中修复

最新状态：

暂无

漏洞评价：

评论

  1. 2014-03-04 13:01 | 光刃 ( 普通白帽子 | Rank:200 漏洞数:24 | 萝卜白菜保平安)

    怎么又是大汉

  2. 2014-06-02 12:28 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @光刃 大汉大方每个通用型漏洞 都给奖金

  3. 2014-06-02 22:38 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @伟哥 是乌云给钱。

  4. 2014-06-03 03:34 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @wefgod ......

  5. 2014-06-03 09:46 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @伟哥 和厂商半毛钱关系都没有，厂商从来不出钱啊。给个礼物都不错了还指望他们给钱啊

  6. 2014-06-03 11:38 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @wefgod 我一直以为是厂商给钱。

  7. 2014-06-03 12:20 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @伟哥 别想太多了。厂商&……（*&*……*&（省略1000000字）

  8. 2014-06-03 13:35 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @wefgod 请允许我做一个悲伤的表情