当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-059894

漏洞标题:某政务服务中心系统通用任意文件上传、任意文件下载、敏感信息遍历

相关厂商:Cncert国家互联网应急中心

漏洞作者: U神

提交时间:2014-05-08 16:31

修复时间:2014-08-06 16:32

公开时间:2014-08-06 16:32

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-08: 细节已通知厂商并且等待厂商处理中
2014-05-11: 厂商已经确认,细节仅向厂商公开
2014-05-14: 细节向第三方安全合作伙伴开放
2014-07-05: 细节向核心白帽子及相关领域专家公开
2014-07-15: 细节向普通白帽子公开
2014-07-25: 细节向实习白帽子公开
2014-08-06: 细节向公众公开

简要描述:

乌云越来越给力了!预存了1万个通用先来一发~
我叫方小顿,艺名也叫方小顿。
方是方小的方,小是小顿的小,顿是小顿的顿。
山丹丹的那个开花哟
红个艳艳个艳~~~

详细说明:

应该是这个企业的产品 西辰软件有限公司 http://www.westarsoft.com/
#1.某套CMS专用于政府的政务服务中心网站,该政务服务中心用户注册帐号之后可以提交申请申报,在提交时候有一个附件上传的地方,只存在本地js的验证文件,通过抓包可以修改为任意后缀,通过最后提交预览可获得shell的地址。
首先关键字证明通用(根据特征自由构造)

inurl:web!getItem.action
inurl:sp/out/index.jsp


01.jpg


02.jpg

漏洞证明:

#2.随便抽一个来测试一下,包括使用方法。
首先注册用户:

注册地址:http://domain.com/sp/out/login/register.jsp


03.jpg


申报/申请地址:web!toWssb.action?ivo.pid=ITEM00000456&wtvo.pid=WEBTITLE00000041&gotopage=/sp/out/outbusiness/wysb.jsp


点击下面的任意一个上传:

04.jpg


然后我们看到进入一个上传页面(上传页面全部都是一个样的,其真实地址为:

web!topage.action?itemStuffVO.stuffid=ITEMSTUFF00009642&itemStuffVO.itemid=ITEM00003208&itemStuffVO.slid=SQRB0001797520140508115917281&gotopage=/sp/out/outbusiness/upFile.jsp

,当然你不可能直接去访问这个上传地址,否则得不到上传后的文件地址。)

05.jpg


然后保存

06.jpg


看到了吧~最后选择提交~

07.jpg


最后查看已经提交的,审查元素得到地址~

08.jpg


得到shell地址。这里我就不上传webshell了,好可怕~

09.jpg


任意文件下载


#3.再说一下任意文件下载,看看上面审查元素的地址,仔细看看,是不是就是下载的?没错,那么我们就可以构造一个下载任意文件的地址,例如下载首页myindex.jsp!

http://www.***.com.cn/common/down.jsp?filepath=\sp/static/myindex.jsp&filename=myindex.jsp


10.jpg


11.jpg


敏感信息遍历


#4.最后再说一下敏感信息遍历吧~看看刚才我们点击“查看”预览时候的地址~

12.jpg


看看这个PID值,后面的是823,那我是不是改成别的ID就是看到别人提交的申报信息呢?事实证明的确如此!

13.jpg


修复方案:

服务端对文件上传进行判断
任意文件上下应该判断下载文件的合法性
遍历信息的时候应该判断是否为当前用户的信息
20Rank不谢!

版权声明:转载请注明来源 U神@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:14

确认时间:2014-05-11 21:23

厂商回复:

CNVD确认并复现所述情况,由CNVD通过公开联系渠道联系西辰软件有限公司通报处置。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-05-08 16:32 | ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子,但是除了他华...)

    我的预言...你是不是要哭了

  2. 2014-05-08 19:10 | huc-ray ( 路人 | Rank:25 漏洞数:7 | 菜鸟一枚)

    U神 来一发

  3. 2014-05-08 20:34 | ChriSt ( 实习白帽子 | Rank:33 漏洞数:4 )

    我叫方小顿,艺名也叫方小顿。方是方小的方,小是小顿的小,顿是小顿的顿。

  4. 2014-07-12 21:49 | zhxs ( 实习白帽子 | Rank:32 漏洞数:19 | Jyhack-TeaM:http://bbs.jyhack.com/)

    呃、为何没公开 我能看到、、

  5. 2014-08-06 17:18 | Ev1l ( 实习白帽子 | Rank:68 漏洞数:20 | 问题真实存在但影响不大。联系邮箱security...)

    = =U神你的一万个通用呢……

  6. 2014-08-06 17:54 | RainShine ( 路人 | Rank:2 漏洞数:4 )

    我是来膜拜U神的.....