当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0150977

漏洞标题：某综合监控管理平台配置不当致未授权访问getshell(以某市平安城市为例/国家电网躺枪/可威胁内网)

相关厂商：浙江大华技术股份有限公司

漏洞作者： 路人甲

提交时间：2015-11-01 10:00

修复时间：2015-12-17 14:48

公开时间：2015-12-17 14:48

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-01： 细节已通知厂商并且等待厂商处理中
2015-11-05： 厂商已经确认，细节仅向厂商公开
2015-11-08： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-30： 细节向核心白帽子及相关领域专家公开
2016-01-09： 细节向普通白帽子公开
2016-01-19： 细节向实习白帽子公开
2015-12-17： 细节向公众公开

简要描述：

某综合监控管理平台配置不当致未授权访问getshell(以某市平安城市为例，可威胁内网)

详细说明：

浙江大华作为全国第二大的监控产品供应商和解决方案服务商，其产品在党政、公安、监狱、学校等占有很大的市场份额，top2的监控产品供应商的用户量可想而知了。
来看看存在本漏洞的部分案例吧，国家电网某站也中枪了（http://**.**.**.**/）

**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**:8081/portal/login_init.action
**.**.**.**:8081/portal/login_init.action
**.**.**.**:8080/portal/login_init.action
**.**.**.**:8080/portal/login_init.action
**.**.**.**:8000/portal/login_init.action
**.**.**.**:88/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:88/portal/login_init.action
**.**.**.**:88/portal/login_init.action
**.**.**.**:88/portal/login_init.action
**.**.**.**:88/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**:81/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action
**.**.**.**/portal/login_init.action


本次漏洞出现在浙江大华的“综合监控管理平台”上，下面将一步步讲解如何拿下shell的。
先说下这里用到的漏洞吧：
平台配置不当导致本应该只有超级管理员可以访问的某上传页面被未授权访问，而该页面只使用了js对上图片进行验证，由于配置问题，可以轻松得到上传shell的名称，另外上传的路径也可以直接访问，因此，这里就可以拿到webshell；
通过查看配置文件，得到超级管理员的登录密码，已登录后台；
通过查看配置文件，得到数据库密码，而且可以远程连接，得到数据库数据；
该服务器有多个内网网段，可进一步渗透内网。
下面整个过程都以 邵阳市平安城市 为例进行说明：**.**.**.**/
这里直接写个表单上传

构造表单.JPG


上传马儿，抓包，上传，查看返回，得到马儿名称

上传返回文件名副本.jpg


直接上刀吧，连接之

刀.JPG


查看下连接情况

ifconfig.JPG


有多个内网网段，可进一步渗透内网，占到为止了
通过查看配置文件，找到了数据库密码，然后发现还可以远程连接

连接数据库副本.jpg


在数据库中找到了平台后台的超级用户名和密码，明文害死人啊，登录之

查找密码登录副本.jpg


设备.JPG


都是敏感单位，占到为止

漏洞证明：

见 详细说明

修复方案：

修改默认配置

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-11-05 14:34

厂商回复：

CNVD确认并复现所述漏洞情况，已经转由CNCERT下发浙江分中心，由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评价

  1. 2015-11-01 10:05 | YY-2012 ( 核心白帽子 | Rank:3429 漏洞数:520 | 意淫，是《红楼梦》原创的词汇，但后来演变...)

    居然被你发了……

  2. 2015-11-01 12:10 | 鸟云管理员 ( 普通白帽子 | Rank:101 漏洞数:1 | 噬魂小号；乌云币出售~私聊本人)

    @YY-2012 http://loudong.360.cn/vul/info/qid/QTVA-2015-306779 呵呵 某数字平台刚打完款就往这边发，真聪明

  3. 2016-02-16 23:07 | 幻老头儿 ( 普通白帽子 | Rank:220 漏洞数:21 | 新手上路。)

    @鸟云管理员 http://loudong.360.cn/vul/search/c/%E6%B5%99%E6%B1%9F%E5%A4%A7%E5%8D%8E%E6%8A%80%E6%9C%AF%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8跟补天上这个都重复的。。。