当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0161120

漏洞标题：长沙广电某APP系统SQL注入/struts2远程执行/导致webshell

相关厂商：长沙广播电视集团

漏洞作者： superbing

提交时间：2015-12-14 11:36

修复时间：2016-01-28 17:10

公开时间：2016-01-28 17:10

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-14： 细节已通知厂商并且等待厂商处理中
2015-12-18： 厂商已经确认，细节仅向厂商公开
2015-12-28： 细节向核心白帽子及相关领域专家公开
2016-01-07： 细节向普通白帽子公开
2016-01-17： 细节向实习白帽子公开
2016-01-28： 细节向公众公开

简要描述：

长沙广播电视集团某APP系统sql注入/struts2远程执行/webshell,数据泄漏。
上线前怎么也找专业机构测试下安全哈，害我注册了，信息迟早被你们泄露出去！友情测试下，好好服务长沙人民哈~~

详细说明：

简介:

http://**.**.**.**/Csbtv/20151109/1_1_13516.HTM


5.JPG


豌豆荚--搜索--智慧长沙APP
抓包走起。。。。。。
有个疑问，长沙的APP，服务器，数据库在北京，而且有个不小的内网。啥情况？
struts2远程执行:

http://**.**.**.**:8686/zhcsserver/AddSmsVerifyCode.action


2.JPG


写入shell：

http://**.**.**.**:8686/zhcsserver/help.jsp 123


1.JPG


数据库信息： 

Z:\WebRoot\zhcsserver\WEB-INF\classes\


<T>XDB</T>
<X>
oracle.jdbc.driver.OracleDriver
jdbc:oracle:thin:ZHCSUSER/ZHCSUSER@**.**.**.**:1533/dbjlg
</X>


<property name="driverClassName">
			<value>com.mysql.jdbc.Driver</value>
		</property>
		<property name="url">
			<value>jdbc:mysql**.**.**.**:13306/zhcs_test?useUnicode=true&amp;characterEncoding=UTF-8</value>
		</property>
		<property name="username">
			<value>ZHCSUSER</value>
		</property>
		<property name="password">
			<value>ZHCSUSER</value>
		</property>


3.JPG


还有一堆sql注入。。

POST http://**.**.**.**:8686/zhcsserver/AddCustomer.action?verifyCode=22199&y0105=ANDROID&password=200bb762aa5503de7fdb2ec6b5cbe991&telephone=13036786808&y0103=714319473283964856&y0102=3614525008582196830&osversion=android4.2.2&appversion=1.7&connecttype=WiFi&phonetype=vivo+Y15T&setupsource=%E8%B1%8C%E8%B1%86%E8%8D%9A%E5%BC%80%E6%94%BE%E5%B9%B3%E5%8F%B0&localprovince=%E6%B9%96%E5%8D%97%E7%9C%81&localcity=%E9%95%BF%E6%B2%99%E5%B8%82&localcounty=%E6%9C%9B%E5%9F%8E%E5%8C%BA
Content-Length: 0
Contenttype: GB2312
Accept-Encoding: gzip
Userhash: cond0r
Connection: Keep-Alive
User-Agent: Dalvik/1.6.0 (Linux; U; Android 4.2.2; vivo Y15T Build/JDQ39)
Accept-Charset: GB2312
Host: **.**.**.**:8686
Content-Type: text/html


4.JPG


漏洞证明：

如上

修复方案：

上线前怎么也找专业机构测试下安全哈，害我注册了，信息迟早被你们泄露出去！友情测试下，好好服务长沙人民哈~~

版权声明：转载请注明来源 superbing@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-12-18 15:22

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给湖南分中心，由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评价