当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0140910

漏洞标题：链家地产某站点上传过滤不严格导致shell（可内网渗透）

相关厂商：homelink.com.cn

漏洞作者： 路人甲

提交时间：2015-09-13 16:43

修复时间：2015-10-31 22:16

公开时间：2015-10-31 22:16

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：12

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-13： 细节已通知厂商并且等待厂商处理中
2015-09-16： 厂商已经确认，细节仅向厂商公开
2015-09-26： 细节向核心白帽子及相关领域专家公开
2015-10-06： 细节向普通白帽子公开
2015-10-16： 细节向实习白帽子公开
2015-10-31： 细节向公众公开

简要描述：

不要20，不要15,只要12，可以吗？

详细说明：

http://wooyun.org/bugs/wooyun-2015-0130301
由一个弱口令进而对链家的一次简单内网漫游


这个洞里面修复了，上传和弱口令，但是上传过滤不严实，依然会有getshell风险

http://gongyi.homelink.com.cn/lianjia/portal/index


先申请一个账号，手机什么的随便填写，没人去验证

1.png


下面就可以在个人资料的地方编辑上传文件

http://gongyi.homelink.com.cn/lianjia/portal/user/personalCenterUpdate


2.png


发现此处对文件的后缀名要求特别严格，只能是jpg等图像格式
后来发现一个有意思的现象，上传xiao.jsp.jpg的时候提示格式不正确的错误，然后想这事图片格式，怎么能不正确呢？换了一个图片上传，没有跳出提示，然后就改动刚才的文件名xiao.jpg，果断没有提示。

3.png


4.png


5.png


burp抓包，绕过限制，在数据包的名称中修改成xiao.jpg.jsp，不能直接改写jsp，否则还是提醒格式不正确，看来只是对上传文件做了第一个点后面的格式匹配，没有照看到后面的，成功返回shell路径

6.png


配置文件

#Thu Sep 10 20:54:47 CST 2015
database.support.autokeys=true
database.driver.name=mysql
database.connection.pool.timeout=5000
database.connection.dbname=jforum
database.support.subqueries=true
dao.driver=net.jforum.dao.mysql.MysqlDataAccessDriver
mysql.unicode=
database.connection.pool.min=5
database.connection.password=homelink2016
database.connection.pool.max=10
database.connection.username=worker
dbencoding=utf-8
database.connection.port=3306
dbunicode=true
database.connection.host=10.10.28.11
database.connection.driver=com.mysql.jdbc.Driver
database.connection.string=jdbc\:mysql\://10.10.28.11\:3306/lianjia?user\=worker&password\=homelink2016&autoReconnect\=true${mysql.unicode}${mysql.encoding}&useNewIO\=false&zeroDateTimeBehavior\=convertToNull&useServerPrepStmts\=false&dumpQueriesOnException\=true&jdbcCompliantTruncation\=false
mysql.encoding=


/usr/local/tomcat/webapps/jforum/>id
uid=0(root) gid=0(root) groups=0(root)


eth0      Link encap:Ethernet  HWaddr 00:50:56:97:07:57  
          inet addr:10.10.28.11  Bcast:10.10.28.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:fe97:757/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:20911870 errors:0 dropped:0 overruns:0 frame:0
          TX packets:18813230 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:8725777527 (8.1 GiB)  TX bytes:30497410242 (28.4 GiB)
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:14939466 errors:0 dropped:0 overruns:0 frame:0
          TX packets:14939466 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:14343201433 (13.3 GiB)  TX bytes:14343201433 (13.3 GiB)


漏洞证明：

root权限，可以安装后门什么的，配置了一下ssocks，没有成功。
还可以使用regeorg，配置一下，可以成功访问内网

7.png


费心，不渗透了
附上小马，其他的看看日志文件吧
http://gongyi.homelink.com.cn/jforum/tools/bin/mysql.jsp
http://gongyi.homelink.com.cn/jforum/tunnel.jsp
...

修复方案：

上传的地方再好好看看吧

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-09-16 22:15

厂商回复：

确认，谢谢。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-09-15 17:06 | 北京链家房地产经纪有限公司(乌云厂商)

    你好，可否留下联系方式，按照这个方法并未成功复现。

  2. 2015-09-15 17:30 | @sdf ( 路人 | Rank:4 漏洞数:2 | @sdf)

    @北京链家房地产经纪有限公司 qq162187647