当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-075600

漏洞标题：易商互联企业建站系统通用SQL注射到后台getshell(影响大量企业站点)

相关厂商：cncert国家互联网应急中心

漏洞作者： 魇

提交时间：2014-09-11 16:28

修复时间：2014-12-10 16:30

公开时间：2014-12-10 16:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-11： 细节已通知厂商并且等待厂商处理中
2014-09-16： 厂商已经确认，细节仅向厂商公开
2014-09-19： 细节向第三方安全合作伙伴开放
2014-11-10： 细节向核心白帽子及相关领域专家公开
2014-11-20： 细节向普通白帽子公开
2014-11-30： 细节向实习白帽子公开
2014-12-10： 细节向公众公开

简要描述：

一不小心发现的

详细说明：

前人漏洞： WooYun: 某建站系统存在SQL注入，影响企业网站数量巨大
厂商：易商互联
易商互联开发的企业级建站系统存在SQL注入，影响企业网站数量巨大 ，实实在在的影响上千家企业站，主要影响南方的各大企业站，这在厦门，乃至全国的建站公司来看都是不多见的
http://music.google.cn/search?newwindow=1&site=webhp&q=inurl%3Afuwu_list.asp%3Fid&btnG=Google+%E6%90%9C%E7%B4%A2
以下案例摘选自前人提交：

http://www.sxhdct.com/fuwu_list.asp?id=65
http://www.shanghaizhongmin.com/news_list.asp?id=58
http://www.dgsytz.com/fuwu_list.asp?id=55
http://www.whjcrh.com/fuwu_list.asp?id=56
http://www.sywssp.com/news_list.asp?id=54
http://www.sz-zdy.com/news_list.asp?id=57
http://www.njxietong.com/news_list.asp?id=59
http://www.ahxyqz.com/news_list.asp?id=66
http://www.jxrsq.com/news_list.asp?id=55
http://www.fjbjxy.com/news_list.asp?id=74
http://www.fjbjxy.com/news_list.asp?id=74
http://www.sdkunde.com/fuwu_list.asp?id=64
http://www.fs-guancheng.com/fuwu_list.asp?id=55
http://www.nbtfyy.com/fuwu_list.asp?id=59
http://www.sdbrg.com/fuwu_list.asp?id=69
http://www.slcxkj.com/fuwu_list.asp?id=59
http://www.cqydfl.net/rc_list.asp?id=4
http://www.tianyuemotor.com/news_list.asp?id=68
http://www.jinfenganxin.com/news_list.asp?id=74
http://www.bjfxnt.com/news_list.asp?id=57
http://www.jstzjf.com/news_list.asp?id=32
http://www.jymyms.com/news_list.asp?id=57
http://www.szhmsl.com/news_list.asp?id=58
http://www.jjhainiu.com/news_list.asp?id=57
http://www.dgytblg.com/news_list.asp?id=73
http://www.chuduhengkang.com/news_list.asp?id=32
http://www.zhonghuajiaji.com/new_list.asp?id=54
http://www.fjtlly.com/news_list.asp?id=73
http://www.jshdhn.com/news_list.asp?id=74
http://www.zzxyy8.com/news_list.asp?id=74
http://www.wandashiyou.com/news_list.asp?id=99
http://www.tjhrl.com/news_list.asp?id=69
http://www.scysjs.com/news_list.asp?id=32
http://www.shxzbz.com/news_list.asp?id=70
http://www.szhdmc.com/news_list.asp?id=55
http://www.szcszlkt.com/news_list.asp?id=55
http://jjytrade.com/news_list.asp?id=72
http://www.jyhongfa.com/news_list.asp?id=69
http://www.nckcxx.com/new_list.asp?id=86
http://www.yyjszj.com/fuwu_list.asp?id=66
以上案例都是从前五页抽选出来的

漏洞证明：

后台登录处存在注入，默认为*/admin
www.dgytblg.com/admin为例

c1.jpg

c2.jpg


然后产品管理-添加产品-作品缩略图-浏览-上传
上传有限制，只允许上传jpg或gif文件，利用burp抓包拦截，将后缀修改为asp,保存后就可以看到上传到了pic目录

c3.jpg

c4.jpg

c5.jpg

c6.jpg

w1.jpg

w2.jpg

w4.jpg

w5.jpg

w7.jpg

w8.jpg

c9.jpg

c0.jpg

就这样吧，求前台..

修复方案：

版权声明：转载请注明来源 魇@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-09-16 09:21

厂商回复：

CNVD确认并复现所述漏洞情况，已经由CNVD通过公开联系渠道向软件生产厂商电话和邮件通报。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-09-11 16:49 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    WooYun: 某建站系统存在SQL注入，影响企业网站数量巨大 没啥说的了哎，得罪的人多了

  2. 2014-09-11 16:51 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @贫道来自河北 少年 不是一个地方噢

  3. 2014-09-11 16:52 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    @魇 哎 原来是这样啊

  4. 2014-09-11 20:46 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    黑客你好

  5. 2014-09-11 21:06 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @鬼魅羊羔 再黑我...放学别走 打你！