当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0137890

漏洞标题:某钻石外汇交易商配置不当(可上传getshell/目录可遍历查看用户身份证图片)

相关厂商:钻石外汇

漏洞作者: 帅克笛枫

提交时间:2015-09-01 10:02

修复时间:2015-10-18 16:56

公开时间:2015-10-18 16:56

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:18

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-01: 细节已通知厂商并且等待厂商处理中
2015-09-03: 厂商已经确认,细节仅向厂商公开
2015-09-13: 细节向核心白帽子及相关领域专家公开
2015-09-23: 细节向普通白帽子公开
2015-10-03: 细节向实习白帽子公开
2015-10-18: 细节向公众公开

简要描述:

~事到如今,不能埋怨你~难忘记你我曾经的约定~时时刻刻沉醉爱河里~永远的爱你~~

详细说明:

访问:http://www.diamondsfx.com/zh-cn/read.jsp?id=48如图所示:

zs1.jpg

DFX GROUP TRADE LIMITED(钻石外汇),总公司为享誉全球的钻石国际集团如图所示:

zs2.jpg

点击开立真实账户,如图所示:

zs3.jpg

往下拉,身份证上传处,如图所示:

zs4.jpg

开启burp抓包,如图所示:

zs5.jpg

将文件名改下,去掉后缀,直接上传aspx,如图所示:

zs6.jpg

点击go,上传成功,如图所示:

zs7.jpg

访问上传成功后的路径,如下所示:
HTTP/1.1 200 OK
Cache-Control: private
Content-Length: 104
Content-Type: text/html; Charset=UTF-8
Server: Microsoft-IIS/7.5
Set-Cookie: CookieID=212605718; path=/
Set-Cookie: ASPSESSIONIDCQSARSSB=FBLBMKMAMFNGDMOPDLMNAJFL; path=/
X-Powered-By: ASP.NET
Date: Sat, 29 Aug 2015 12:56:28 GMT
{success:true,message:'????????????',data:{src:'/upfile/images/2015-8/29205628.aspx'},total:1,errors:''}shell地址:http://www.diamondsfx.com/upfile/images/2015-8/29205628.aspx
如图所示:

zs8.jpg

漏洞证明:

images目录下,可以浏览查看到很多用户的身份证图片,如图所示:

zs9.jpg

2314514.jpg

1795810 (1).jpg

20165028.jpg

23154929.jpg

访问http://www.diamondsfx.com/upfile/images/发现目录可遍历,如图所示:

zs12.jpg

系统信息如图所示:

zs10.jpg

站点下还安装了安全狗,如图所示:

zs11.jpg

站点数据库,如图所示:

zs13.jpg

发现数据库配置文件,如图所示:

zs14.jpg

数据库中发现系统管理员信息如图所示:

zs15.jpg

zs16.jpg

zs17.jpg

zs18.jpg

修复方案:

~修复~

版权声明:转载请注明来源 帅克笛枫@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-09-03 16:54

厂商回复:

暂未建立与网站管理单位的直接处置渠道,待认领.

最新状态:

暂无


漏洞评价:

评论