漏洞概要
关注数(24)
关注此漏洞
漏洞标题：从信游科技一封垃圾邮件引发的血案（从此旅游不花钱）
提交时间：2015-04-06 09:56
修复时间：2015-05-21 09:58
公开时间：2015-05-21 09:58
漏洞类型：命令执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
Tags标签：
无
漏洞详情
披露状态：
2015-04-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-05-21： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
清明节了，人赢们都出去旅游了，作为苦逼的单身狗只有在宿舍敲代码。
刚好一个小伙伴收到了清明节出去双人旅游的垃圾邮件，单身狗们纷纷表示受到了暴击。
详细说明：
打开邮件链接，进入一家旅行社的网站，粗略检测了下，没找到什么大漏洞，还有安全狗看着。本来准备看看旁站，结果看到了一个“全社通旅游系统”的链接，于是点了进去：
http://www.xinyour.net/
貌似全国上百个旅行社在用的样子，想下载个审计下，结果能找到的都是付费的，学生狗表示压力很大：
然后又发现“全社通”是“信游天下”搞的旅游系统，而“信游天下”感觉很厉害的样子：
信游网，中国旅游创富第一网，是中国首家以BMC（供应商-媒介中心-消费者）商业模式串联中国私家车平台、中国机票酒店门票平台、中国旅游线路交易平台，为众多用户提供一个旅行快捷实惠、操作简易规范、奖金丰厚实时的旅行及旅游创业创富网。
http://www.xinyour.com/About-3.html
于是跑了一下xinyour.com的子域名，加上google hack，找到了一个管理平台：
http://manage.xinyour.com/
试了下有万能密码：
不过貌似做了IP限制：
所以先上sqlmap跑了下，sa权限：
然而只有一个注入点并没有什么卵用，看了看页面源码，有个隐藏的input：
小伙伴表示可能是后台跳转链接，于是把value改成'/'试了试——结果就进了：
月入百万：
20多万个用户：
最后找了个上传，传了小马：
各种备份，不只一个站：
权限挺高，最后反弹了端口连上数据库，账户余额想怎么改就怎么改……
漏洞证明：
shell地址：http://manage.xinyour.com/pictures/WWW/News/201545205546141.aspx
修复方案：
1.重写后台登录吧
2.很多表里明文密码，不加下密吗？
3.限制上传目录执行权限
4.全社通旅游系统还有些越权的小问题就不报了
5.各种弱口令
6.oa等系统没验证码
即兴测试，求不跨省
版权声明：转载请注明来源 0x0d@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：15 (WooYun评价)
漏洞评价：
评论
-
2015-04-06 23:46 |
明月影 ( 路人 | Rank:12 漏洞数:8 | 学姿势，学思路。)
-
2015-04-07 11:37 |
孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)
-
2015-04-07 12:59 |
0x0d ( 路人 | Rank:25 漏洞数:4 | >_<'\/)
-
2015-05-21 10:23 |
Stardustsky ( 路人 | Rank:4 漏洞数:3 | ……)
-
2015-05-21 10:24 |
xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)
月入百万？ 我数学不好…看瞎了SA权限...没啥鸟用..我去...................
-
2015-05-22 09:18 |
这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)
