漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083781
漏洞标题：中石油某系统任意文件上传(两处)+任意sql命令执行
相关厂商：中国石油
漏洞作者： 路人甲
提交时间：2014-11-19 12:44
修复时间：2015-01-03 12:46
公开时间：2015-01-03 12:46
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-19： 细节已通知厂商并且等待厂商处理中
2014-11-24： 厂商已经确认，细节仅向厂商公开
2014-12-04： 细节向核心白帽子及相关领域专家公开
2014-12-14： 细节向普通白帽子公开
2014-12-24： 细节向实习白帽子公开
2015-01-03： 细节向公众公开
简要描述：
中国石油某系统存在任意文件上传，同时可执行任意sql命令
最近看到很多人提交中石油 我也来凑热闹
详细说明：
网站名称 中石油第二建设公司
网站首页网址 www.cnpcscc.com.cn
漏洞一 任意sql命令执行
访问
post提交
sql命令可以随便输入
漏洞二 任意文件上传
地址一 访问
没有对后缀进行判断可直接上传aspx文件
shell地址
第二处 地址
也是没对文件后缀进行判断
右键查看源代码
shell地址
漏洞证明：
漏洞证明如上
修复方案：
对文件后缀名进行判断 对sql语句进行处理
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-11-24 09:52
厂商回复：
最新状态：
暂无