当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-082922

漏洞标题：广西某银行官网GETSHELL

相关厂商：广西北部湾银行

漏洞作者： BMa

提交时间：2014-11-11 20:47

修复时间：2014-12-26 20:48

公开时间：2014-12-26 20:48

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-11： 细节已通知厂商并且等待厂商处理中
2014-11-14： 厂商已经确认，细节仅向厂商公开
2014-11-24： 细节向核心白帽子及相关领域专家公开
2014-12-04： 细节向普通白帽子公开
2014-12-14： 细节向实习白帽子公开
2014-12-26： 细节向公众公开

简要描述：

广西某银行官网GETSHELL，有个人银行，企业银行，证书，网上商城，危害大大地！
声明：出于职业道德，仅仅证明存在漏洞，未深入

详细说明：

首先看看官网情况：
http://www.bankofbbg.com/portal/index.htm

zhuzhan1.png


看看问题页面：

mask 区域 
*****片 选^*****


mask 区域 
1.http://**.**.**/portal/rc/zxzp/A091902index_1.htm


mask 区域 
*****3778069400516ab40ce4.png&qu*****


mask 区域 
*****^sh*****


mask 区域 
1.http://**.**.**/cms/hireonline/viewpic.jsp


mask 区域 
*****1e49ee7615eff3479f.png"*****


mask 区域 
*****1eac97ad757ce644bf.png"*****


GETSHELL,还是root用户，内网啥的更方便了，我是好孩子，浅尝辄止:
上shell：

mask 区域 
1.://**.**.**//www.bankofbbg.com//portal/hrpic/1403598551582964.jsp</code>密码：jspspy


上靓照：

mask 区域 
*****2563867374ee2b7497.png"*****


mask 区域 
*****3f7378f588c2c12229.png"*****


OVER!!

漏洞证明：

浅尝辄止

修复方案：

版权声明：转载请注明来源 BMa@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：14

确认时间：2014-11-14 17:46

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-11 21:10 | RainShine ( 路人 | Rank:2 漏洞数:4 )

    银行！CCAV，这里这里！！！！！！！！

  2. 2014-11-11 22:19 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 | 总有一天，我会骑着雨牛@'雨。踩着一哥@jan...)

    好牛

  3. 2014-11-11 22:54 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    NB啊。。

  4. 2014-11-11 22:56 | D_in ( 普通白帽子 | Rank:413 漏洞数:62 | 到我嘴里来)

    牛啊，求详情啊

  5. 2014-11-11 23:27 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    官网是隔离的，和其它系统不在一个服务器，危害没洞主说的那么严重

  6. 2014-11-12 00:30 | 黑吃黑 ( 普通白帽子 | Rank:139 漏洞数:29 | 倚楼听风雨，淡看江湖路...)

    无聊看看

  7. 2014-11-12 08:58 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井，架工，木工，电工，水暖工，力...)

    银行官网也只是一个普通网站罢了。。

  8. 2014-11-12 09:12 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @雷锋 哈哈，说的对

  9. 2014-11-12 09:36 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    @wefgod 肯定是不会影响银行业务的，最多用来钓钓鱼什么的，只是谈到银行，有点敏感而已

  10. 2014-11-12 09:41 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @BMa 看描述说的很严重，不过实际没有那么严重而已