漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0151421
漏洞标题：某综合监控管理平台配置不当致未授权访问getshell(以某市全市卫生监督所为例/可威胁内网)
相关厂商：浙江大华技术股份有限公司
漏洞作者： 路人甲
提交时间：2015-11-05 00:00
修复时间：2015-12-17 14:48
公开时间：2015-12-17 14:48
漏洞类型：非授权访问/权限绕过
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-05： 细节已通知厂商并且等待厂商处理中
2015-11-09： 厂商已经确认，细节仅向厂商公开
2015-11-12： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2016-01-03： 细节向核心白帽子及相关领域专家公开
2016-01-13： 细节向普通白帽子公开
2016-01-23： 细节向实习白帽子公开
2015-12-17： 细节向公众公开
简要描述：
某综合监控管理平台配置不当致未授权访问getshell(以某市全市卫生监督所为例，可威胁内网)-2#
详细说明：
浙江大华作为全国第二大的监控产品供应商和解决方案服务商，其产品在党政、公安、监狱、学校等占有很大的市场份额，top2的监控产品供应商的用户量可想而知了。
来看看存在本漏洞的部分案例吧，国家电网某站也中枪了（http://**.**.**.**/）
本次漏洞出现在浙江大华的“综合监控管理平台”上，下面将一步步讲解如何拿下shell的。
该漏洞与http://**.**.**.**/bugs/wooyun-2015-0150977不是同一个文件/同一个操作的漏洞，而且需要的几个重要参数不一样，包括jsonstr={%22mapx%22:null,%22mapy%22:null,%22name%22:%22%22,%22path%22:%22%22,%22desc%22:%22%22,%22pId%22:null}和layerName，下面会具体说，测试时，为了这两个参数，测试了几天时间，今天终于突破了~~~
先说下这里用到的漏洞吧：
平台配置不当导致本应该只有超级管理员可以访问的某上传页面被未授权访问，而该页面只使用了js对上图片进行验证，由于配置问题，可以轻松得到上传shell的名称，另外上传的路径也可以直接访问，因此，这里就可以拿到webshell；
通过查看配置文件，得到超级管理员的登录密码，已登录后台；
可以直接下载数据库文件，得到数据库数据；
该服务器有多个内网网段，可进一步渗透内网。
下面整个过程都以 杭州市全市卫生监督所为 为例进行说明：**.**.**.**:81，可以控制全市所有使用该系统的监控
这里直接写个表单上传，但是注意，这里在构造表单时，一定要写上jsonstr和layerName两个参数，这与http://**.**.**.**/bugs/wooyun-2015-0150977有很大的不同，如果这里没有这两个参数的话，不会返回上传文件名字，拿到webshell后，可以看到，文件被重命名，从格式可以看出，使用了Date.getTime()来对文件进行重命名，如果不能成功返回文件名，那利用难度就大了。
直接构造表单
上传马儿，抓包，上传，查看返回，得到马儿名称
直接上刀吧，连接之
查看下连接情况
有多个内网网段，可进一步渗透内网，占到为止了
找到了数据库文件
使用该系统的案例当中，有很大一部分是可以外连的，举个例子吧，**.**.**.**
在数据库中找到了平台后台的超级用户名和密码，明文害死人啊，登录之
都是敏感单位，占到为止
漏洞证明：
见 详细说明
修复方案：
整改
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-11-09 11:18
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发对应分中心，由其后续协调网站管理单位处置。
最新状态：
暂无