漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073946
漏洞标题：百利网漏洞集合
相关厂商：xabaili.com
漏洞作者： 蓝冰
提交时间：2014-08-27 11:18
修复时间：2014-09-01 11:20
公开时间：2014-09-01 11:20
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-27： 细节已通知厂商并且等待厂商处理中
2014-09-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
为什么没通过呢 http://www.wooyun.org/bugs/wooyun-2010-028736
的确有这个厂商啊 花了大半天时间去检测的 T_T
这回把漏洞扩大了 集合 还是不通过那就算了
去数据库看了下 的确小
提个建议 要是觉得厂商小的话 那就T掉就好了嘛 明明有这个厂商的信息啊 我个菜鸟花大把时间去检测 不是想得到这种结果的
详细说明：
#1设计缺陷导致重置密码
点开找回密码页面 选择找回方式为手机
发送验证手机转到重置密码页面 审查元素 找到发送给手机的4位随机数字
最后重置成功
手机版站点同样存在该问题 http://m.xabaili.com
注册的时候需要用手机号注册 危害大
#2 sql注入导致获取webshell
问题页面：http://m.xabaili.com/shop/detail.php?goods_id=80
root权限 可读可写
web物理路径 在这里泄露了 http://webmail.xabaili.com/index.php
成功导出 连接菜刀
#3邮箱服务器信息泄露导致 获取数据库权限
http://mail.xabaili.com/update/ 目录权限不严格导致泄露
其中 mail_path.sh 泄露了数据库信息
#!/bin/bash
#last update at 2014-3-12
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add counts int(11) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add islock int(11) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add userislock int(11) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add retrycounts int(20) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add retryfailurecounts int(20) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add totalmailcounts int(20) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table vpopmail add yesterdaycounts int(11) NULL DEFAULT 0;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;alter table send_logs add result varchar(5000) NOT NULL DEFAULT '';"
mysql -uroot -pwest263mysqlisgood -e "alter table vpopmail.vpopmail modify netdisk int(11) DEFAULT 500;"
mysql -uroot -pwest263mysqlisgood -e "use vpopmail;update vpopmail set pw_gid=2048 where pw_name='postmaster';"
echo '#!/bin/sh
qmailctl stop
killall -9 svscan
killall -9 supervise
killall -9 qmail-send
killall -9 qmail-remote
killall -9 /var/qmail/bin/qmail-smtpd
killall -9 /var/qmail/bin/qmail-popup
killall -9 /var/qmail/bin/qmail-pop3d
killall -9 /usr/bin/tcpserver'>/root/killqmail.sh
chmod 705 /home/vpopmail
cd ~
wget ftp://west263down:west264down@61.139.126.12/wwwroot/mail/text.tar.gz
tar zxf /root/text.tar.gz -C /
VER=`uname -m`
远程连接mysql数据库
漏洞证明：
已证明
修复方案：
0.0
版权声明：转载请注明来源 蓝冰@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-09-01 11:20
厂商回复：
最新状态：
2014-09-02：我司已确认漏洞，正在努力修复。感谢蓝冰！