漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083964
漏洞标题：新点网上开评标系统存在默认账户密码+越权+任意文件上传
相关厂商：epoint.com.cn
漏洞作者： 路人甲
提交时间：2014-11-20 15:39
修复时间：2014-12-30 14:44
公开时间：2014-12-30 14:44
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-20： 细节已通知厂商并且等待厂商处理中
2014-11-25： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-19： 细节向核心白帽子及相关领域专家公开
2015-01-29： 细节向普通白帽子公开
2015-02-08： 细节向实习白帽子公开
2014-12-30： 细节向公众公开
简要描述：
新点网上开评标系统存在默认账户密码+越权+任意文件上传漏洞，目前应用在多省招投标管理单位，由于该程序开发商一再忽略提交漏洞，希望审核人员将该问题反馈给cncert，督促用户联系开发商进行升级维护。如果被不法分子控制该系统，利用数据库查询，可以在开标前即可获知开评标专家信息，可以进行贿赂哦！！！！！具有敏感性不进行证明。
详细说明：
百度或者谷歌搜索：登录到新点网上开评标系统
可以获取搜索引擎已经收录的案例20个左右，当然有些系统可能没有建设在互联网，也可能没有被搜索引擎爬取到。
漏洞证明：
案例：http://www.dfzbcg.gov.cn/epointbid_dfpb/
问题1：默认账户密码(用户名:密码)
<--------------------------------------------------------------------->
jg:11111 开标监管（这个在我测试的多个系统中都存在，请审核员使用该账户测试）
kb:11111 开标
admin:11111开标管理员
gzry：11111 工作人员
and so on.
登录系统
可以默认查看到若干招投标项目
<--------------------------------------------------------------------->
问题2：越权
<--------------------------------------------------------------------->
由于越权的地方过多，现在只演示使用监管账户jg，查看和修改系统内所有账户，实际中只对jg账户进行了测试，没有修改其他账户。
访问http://www.dfzbcg.gov.cn/epointbid_dfpb/Pages/UserManage/User_List.aspx
即可获取所有用户列表
可以重置密码，创建管理员等
演示创建管理员
成功新建wooyun管理员，新建用户密码默认11111
登录演示
<--------------------------------------------------------------------->
问题3：任意文件上传
<--------------------------------------------------------------------->
上传位置，新建用户，头像上传处，burpsuite拦截修改扩展名即可。
可以绕过扩展名检测上传任意文件，由于储存在数据库中，不能用来执行命令，不进行上传演示了。
当初在5.3版本中测试存在的SQL注入现在利用有些难度，继续测试中，如果能够再次复现，将再次提交漏洞。
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-30 14:44
厂商回复：
最新状态：
2015-04-03：已修复此漏洞