漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-067474
漏洞标题：川师大资产清查账物核对系统文件上传漏洞致多系统可被任意窃取，修改，破坏
相关厂商：四川师范大学
漏洞作者： mlyKnown
提交时间：2014-07-06 01:12
修复时间：2014-08-20 01:14
公开时间：2014-08-20 01:14
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-06： 细节已通知厂商并且等待厂商处理中
2014-07-10： 厂商已经确认，细节仅向厂商公开
2014-07-20： 细节向核心白帽子及相关领域专家公开
2014-07-30： 细节向普通白帽子公开
2014-08-09： 细节向实习白帽子公开
2014-08-20： 细节向公众公开
简要描述：
此次渗透发现的漏洞可导致：四川师范大学网上财务应用系统，四川省教育会计学会，四川师范大学学生财务管理系统，四川师范大学资产清查账物核对系统，四川师范大学财务处等系统被任意窃取，修改，破坏等。
详细说明：
1、该系统存在fck编辑器
2、利用漏洞上传网马获取到webshell。对服务器探测确定其为iis6+windows2003,含有解析漏洞，a.asp;.jpg会被当作.asp文件执行，利用这种方式，上传网马，但是发现其自动更名为a_asp;.jpg，继续上传一个同名文件，就bianweia.asp;(1).jpg，解析成功，连接一句话木马。
3，找到数据库帐号密码，并且权限为sa:
6.利用sa调用系统命令执行添加账户命令：
Exec master.dbo.xp_cmdshell ' .......
7.远程连接：
漏洞证明：
远程连接
修复方案：
1、89端口里面设置fck编辑器不允许未登录外面上传，并且删除那些能够上传页面。
2、至少把windows2003+iis6升级为2008+iis7。
3、降低数据库权限。
版权声明：转载请注明来源 mlyKnown@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2014-07-10 14:41
厂商回复：
正在通知相关学校处理
最新状态：
暂无