当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-073549

漏洞标题：某通用型电子采购平台从某处目录遍历到任意文件上传GetShell

相关厂商：cncert国家互联网应急中心

漏洞作者： 魇

提交时间：2014-08-23 14:54

修复时间：2014-11-21 14:56

公开时间：2014-11-21 14:56

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-23： 细节已通知厂商并且等待厂商处理中
2014-08-28： 厂商已经确认，细节仅向厂商公开
2014-08-31： 细节向第三方安全合作伙伴开放
2014-10-22： 细节向核心白帽子及相关领域专家公开
2014-11-01： 细节向普通白帽子公开
2014-11-11： 细节向实习白帽子公开
2014-11-21： 细节向公众公开

简要描述：

前人漏洞，捡漏。

详细说明：

前人漏洞： WooYun: 某通用型电子采购平台存在任意文件上传漏洞GETSHELL WooYun: 某通用型电子采购平台SQL注射（涉及大量企业）
厂商： 北京网达信联科技发展有限公司 http://www.1caitong.com/
产品：电子采购平台
Google搜索语法：inurl:/custom/GroupNewsList.aspx
枚举部分实例：

http://eps.umgg.com.cn/custom/GroupNewsList.aspx?groupId=121&child=true
http://eps.csrcj.com/custom/GroupNewsList.aspx?GroupId=141&child=true
http://eps.rizhaosteel.com/custom/GroupNewsList.aspx?GroupId=142&child=true
http://azbid.zj31.com.cn/custom/GroupNewsList.aspx?GroupId=58&child=true
http://eps.zzvcom.com/custom/GroupNewsList.aspx?GroupId=142&child=true
http://www.daqobid.com/custom/GroupNewsList.aspx?GroupId=142&child=true
http://eps.delongsteel.com/custom/GroupNewsList.aspx?GroupId=140&child=true
http://zh404eps.cn/custom/GroupNewsList.aspx?groupId=58&child=true
http://www.sdlg.info/custom/GroupNewsList.aspx?GroupId=58&child=true
http://eps.xinjinsteel.com:90/custom/GroupNewsList.aspx?GroupId=141&child=true
http://jingpai.datuhe.com/custom/GroupNewsList.aspx?GroupId=142&child=true
http://wscg.hgfq.cn/custom/GroupNewsList.aspx?GroupId=141&child=true
http://www.lzpbzx.com/custom/GroupNewsList.aspx?GroupId=148
http://eps.eastcom.com/custom/GroupNewsList.aspx?GroupId=181
http://wscg.hgfq.cn/custom/GroupNewsList.aspx?companyId=&child=true&buyGroupid=1302&groupId=38
https://eps.xd.com.cn:8084/custom/GroupNewsList.aspx?GroupId=114&buyGroupId=1178
http://ygcg.xuangang.com.cn/custom/GroupNewsList.aspx?typeObj=t58&groupId=58
http://jingpai.datuhe.com/custom/GroupNewsList.aspx?GroupId=142&child=true
http://cg.bjxinheng.com:8000/custom/GroupNewsList.aspx?GroupId=58&child=true
http://218.203.215.218/custom/GroupNewsList.aspx?GroupId=58&child=true
http://eps.xltl.com.cn/custom/GroupNewsList.aspx?typeObj=t58&groupId=58
等等...

漏洞证明：

从其中一个站点http://www.bidding-mro.com/存在多处目录遍历
其他站点貌似不存在 只是从该站点挖掘出其他通用漏洞 就略过，直接讲任意文件上传吧。
http://www.bidding-mro.com/library/editornew/Editor/temp.asp 该编辑器目录存在任意文件上传，可以直接上传ASP一句话，通过该站目录遍历，获知到文件最后上传到/library/editornew/Editor/newImage/目录

e1.jpg

e2.jpg


拼接地址：http://www.bidding-mro.com/library/editornew/Editor/newImage/201482310105787456.asp

e3.jpg


通用证明1：
http://eps.csrcj.com/library/editornew/Editor/temp.asp
http://eps.csrcj.com/library/editornew/Editor/newImage/20148231013659808.asp

e4.jpg


通用证明2：
http://jingpai.datuhe.com/library/editornew/Editor/temp.asp
http://jingpai.datuhe.com/library/editornew/Editor/newImage/201482310163399893.asp

e5.jpg


通用证明3：
http://wscg.hgfq.cn/library/editornew/Editor/temp.asp
http://wscg.hgfq.cn/library/editornew/Editor/newImage/20148231019374121.asp

e6.jpg


通用证明4：
http://www.lzpbzx.com/library/editornew/Editor/temp.asp
http://www.lzpbzx.com/library/editornew/Editor/newImage/201482310215649842.asp

e7.jpg


通用证明5：
http://ygcg.xuangang.com.cn/library/editornew/Editor/temp.asp
http://ygcg.xuangang.com.cn/library/editornew/Editor/newImage/201482310234338796.asp

e9.jpg


修复方案：

版权声明：转载请注明来源 魇@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-08-28 09:15

厂商回复：

CNVD确认并复现所述情况，已经由CNVD通过以往建立的联系渠道向软件生产厂商网达信联公司电话和邮件通报。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-08-23 15:53 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    好腻害

  2. 2014-08-23 16:45 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    特么的又模仿我的洞

  3. 2014-08-23 16:54 | 超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:117 | STEAM_0:0:55968383)

    辣鸡晖 持答辩