当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-074865

漏洞标题：某E-learning产品内置账号可操作任意用户及添加管理员/任意文件上传GetShell

相关厂商：上海天柏信息科技有限公司

漏洞作者： 魇

提交时间：2014-09-03 16:14

修复时间：2014-12-02 16:16

公开时间：2014-12-02 16:16

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-03： 细节已通知厂商并且等待厂商处理中
2014-09-08： 厂商已经确认，细节仅向厂商公开
2014-09-11： 细节向第三方安全合作伙伴开放
2014-11-02： 细节向核心白帽子及相关领域专家公开
2014-11-12： 细节向普通白帽子公开
2014-11-22： 细节向实习白帽子公开
2014-12-02： 细节向公众公开

简要描述：

据说是市场上最畅销的E-learning产品，用户超5000家

详细说明：

上海天柏信息科技有限公司 官网：http://www.timber2005.com/
成功案例：http://www.timber2005.com/Customer.html
产品：天柏在线考试系统

c1.jpg


包含众多政府/教育/企业/运营商/科技公司等等，用户量真的很大...
谷歌搜索语法：inurl:stu_user_regist.aspx
部分影响实例：

http://www.ndddpx.com/system/stu_user_regist.aspx
http://www.fjforestry.gov.cn:38501/System/Stu_User_Regist.aspx
http://www.jzkjpx.cn/system/stu_user_regist.aspx
http://zx.gzzkzsw.com/system/stu_user_regist.aspx
http://exam.sccl.org.cn/system/stu_user_regist.aspx
http://218.70.91.227/System/Stu_User_Regist.aspx
http://42.96.174.127/system/stu_user_regist.aspx
http://116.228.52.53/system/stu_user_regist.aspx
http://www.lzpcc.com.cn/jxjy-exam/system/stu_user_regist.aspx
http://ajws.gov.cn/system/stu_user_regist.aspx
http://www.jmty.com.cn:8000/system/stu_user_regist.aspx
http://www.pzxf.gov.cn/system/stu_user_regist.aspx
www.ctcefive.com/ks/system/stu_user_regist.aspx
http://exam.sohomusic.com.cn:86/system/stu_user_regist.aspx
http://www.ncszfcg.gov.cn:8002/system/stu_user_regist.aspx
http://px3.timber2005.com/System/Stu_User_Regist.aspx
http://www.52edu.org/system/stu_user_regist.aspx
http://px.mqxwdx.cn/System/Stu_User_Regist.aspx
http://zxks.sdcoal.gov.cn/system/stu_user_regist.aspx
http://219.150.186.78:91/Exam/system/stu_user_regist.aspx
exam.iflysse.com/system/stu_user_regist.aspx
test.pche.com.cn/system/stu_user_regist.aspx
victormap.com/system/stu_user_regist.aspx
px.fjzyjy.com/system/stu_user_regist.aspx
58.221.172.30:9898/system/stu_user_regist.aspx
222.240.218.90:886/system/stu_user_regist.aspx
www.haryk.com/system/stu_user_regist.aspx
www.touhang123.com/system/stu_user_regist.aspx
www.rcjxjy.com/system/stu_user_regist.aspx
www.qkjx.qdedu.net:8012/PXSystem/Stu_User_Regist.aspx
www.frpx.cn/system/stu_user_regist.aspx
61.147.105.168:8003/PXSystem/Stu_User_Regist.aspx
zx.shoueredu.com/system/stu_user_regist.aspx
www.bjlfzg.com/system/stu_user_regist.aspx
218.106.254.26:801/System/Stu_User_Regist.aspx
exam.sinopx.cn/system/stu_user_regist.aspx
goldexam.com/system/stu_user_regist.aspx
....等等

漏洞证明：

从官方demo http://exam1.timber2005.com/login.aspx
测试账号：master/123456
master该帐号是系统体验员的帐号，拥有可操作修改任意用户的权限

c2.jpg


通过抓包，获取到该请求：http://exam1.timber2005.com/system/Stu_User_Manage.aspx?action=view&InfoPager=1&infoid=4917
访问该页面通过修改infoid参数可实现越权查看任意用户,修改用户密码,赋予系统管理员权限

c3.jpg


赋予管理员权限之后，在后台上传LOGO文件处可任意上传文件直接GetShell
最要命的是经过我后续对其他通用案例的测试，该一系列操作直接注册一个普通用户即可完成
（该在线考试系统99.99%都是提供注册功能的可以直接注册，不信可以自己看看）
接下来是实例演示：
http://zx.gzzkzsw.com/login.aspx 贵州自考网
我自己注册的帐号: admin2/admin2
登录后访问http://zx.gzzkzsw.com/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=88
以修改1024966595该帐号密码，以及帮他赋予系统管理员权限为例

c4.jpg

c5.jpg


1024966595：123456 重新登录下

c6.jpg


系统管理-系统设置-前台Logo或者后台Logo上传文件处可以直接上传ASP一句话
保存后查看，返回了路径，然后拼接地址...

c7.jpg


http://zx.gzzkzsw.com/UpLoad/System/20140903121440948242.asp 密码：pass

c8.jpg


再证明1个： http://www.fjforestry.gov.cn:38501/login.aspx
我自己注册的帐号: admin2/admin2
登录后访问：http://www.fjforestry.gov.cn:38501/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=88
（顺带一提，这个访问不存在的id页面会报错，但是没关系，可以使用burpsuite爆破，访问存在的id）

c9.jpg


用户liuhuaxing密码仍被修改为123456，赋予管理员权限..

c11.jpg


然后如上上传ASP一句话， http://www.fjforestry.gov.cn:38501/UpLoad/System/2014090312264026562.asp 密码：pass

c12.jpg

修复方案：

整理一下
默认登录页面：/login.aspx
默认注册页面：/system/stu_user_regist.aspx
越权页面：/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=（XXX）
后台上传处：系统设置-前台Logo或者后台Logo上传处

版权声明：转载请注明来源 魇@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2014-09-08 09:38

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-09-03 18:48 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    还没确认当天就发奖金了..确实可怕

  2. 2014-09-03 19:58 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    @魇 500吗

  3. 2014-09-03 19:59 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @贫道来自河北 嗯 这个是

  4. 2014-09-03 20:00 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    @魇 哎 你牛逼了，哎，今天收到3个200

  5. 2015-06-13 10:14 | saviour ( 普通白帽子 | Rank:188 漏洞数:29 | Saviour.Com.Cn 网站正在备案中)

    这个我提交过360 没审核