当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0194821

漏洞标题:某GPRS调度系统漏洞导致可修改全国出租车LED顶灯屏幕内容(可发送调度指令/拍照指令/语音监听)

相关厂商:cncert国家互联网应急中心

漏洞作者: Aasron

提交时间:2016-04-11 11:51

修复时间:2016-05-29 15:50

公开时间:2016-05-29 15:50

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-11: 细节已通知厂商并且等待厂商处理中
2016-04-14: 厂商已经确认,细节仅向厂商公开
2016-04-24: 细节向核心白帽子及相关领域专家公开
2016-05-04: 细节向普通白帽子公开
2016-05-14: 细节向实习白帽子公开
2016-05-29: 细节向公众公开

简要描述:

某GPRS调度系统漏洞导致可修改全国出租车LED顶灯屏幕内容(可发送调度指令/拍照指令/语音监听)
除了出租车在用,还有商务及个人用户,所以影响比较广

详细说明:

求雷劈!浩天哥,么么哒
#前言
这套系统是全国智能交通开发的一套GPRS调度管理系统,不过功能太强大了
全球GPS定位系统

http://**.**.**.**/


1.png


#2
登录框首先就存在着一处注入,过滤了,使用space2mysqldash能绕过
不过我看了看表我还是放弃了

1.png


1.png


5000多张表,等跑完了不知道何年何月了,果断放弃!
经过前期观察发现页面并没有添加验证码等机制,进行了爆破,准备了字典,跑了半天发现根本没有什么结果

1.png


结果在最顶上,我以为不存在的问题竟然有,后台登录验证绕过

1.png


admin'%20or%201%3d1--


这个能直接进入后台,但进入后台发现NM,一直谈错误信息,且得不到任何有价值的东西,我想了想,会不会是构造的语句有问题?

1.png


后面想了想,闭合了单引号,即

admin 'or 1='1

'or 1='1


#3 等待进入中...

1.png


等待了半天出现了我想的页面,刚开始进去 报警的汽车会发出声音,还被吓了一跳
不小心抖了一下,处理了一个警报

6.png


看了看功能着实强大
信息比较详细

1.png


在点击车辆,有命令操作的功能

1.png


2.png


可直接断开油路,发送拍照指令
#你以为这样就完了?
在更多界面的,我们可以看到更全的

3.png


1.png


如果车辆在线的话,可以直接进行LED屏幕内容的修改,我在官网上找了一张图

1.png


修改的是出租车的顶灯LED屏幕以及带有LED后屏的车辆

1.png


可发送拍照指令
语音监听
只要在语音监听回报号码中填写任意号码就能接听到

1.png


最奇葩的是还可以控制引擎开关,这到底是个什么系统啊?

1.png


当前是由于无在线车辆所以无法发送指令

1.png


漏洞证明:

#5
在管理界面,我找到了另外几处漏洞,可越权操作

1.png


在查询时抓取到一个接口

/Ajax/GetAllDevicesPage?_=1460289571446&userId=177&pageSize=10&page=1&key=1


其中userId代表查询的当前用户终端,于是开始遍历

1.png


1.png


1.png


1.png


Tel参数及SIM参数为手机号,我马赛克了,有些拥有的汽车终端量不小
在更改上级的时候
将参数修改为其它人的参数就能轻易管理别人的汽车了

POST /Ajax/ChangeParent HTTP/1.1
Host: **.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0
Accept: application/json, text/javascript, */*
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Referer: http://**.**.**.**/Manage/ChangeParent?id=177&type=2&KeepThis=true&
Content-Length: 24
Cookie: 马赛克
Connection: close
UserId=177&Id=177&Type=2


我这里将Id参数修改为1,但是什么车辆都没有

1.png


同理也可以修改将自己修改为别人的上级,修改之前遍历成功的userId参数,成功添加

1.png


这里成功添加自己为别人的上级,与其说成为别人的上级不如说直接控制了别人的账户,因为这里直接将L1客户的帐号强制绑定到当前帐号来了,如果拥有车辆终端的话,意味着就可以随人控制他人车辆终端了。

1.png


#6
按道理来说,在指令发送页面进行指令发送的时候,抓包将汽车的值更换为其它车的值,是不是就可以任意发送指令给别的车辆和控制别人的车辆了呢?

修复方案:

版权声明:转载请注明来源 Aasron@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2016-04-14 15:49

厂商回复:

CNVD确认并复现所述漏洞情况,已经转由CNCERT下发给广东分中心,由广东分中心后续协调网站管理单位处置。

最新状态:

暂无


漏洞评价:

评价

  1. 2016-04-11 14:11 | 小红猪 ( 普通白帽子 | Rank:323 漏洞数:59 | little red pig!)

    这个好玩,哈哈哈哈...

  2. 2016-04-11 16:13 | range ( 普通白帽子 | Rank:192 漏洞数:40 | 刷洞买mac)

    GPRS,通用分组无线服务技术(General Packet Radio Service)的简称,它是GSM移动电话用户可用的一种移动数据业务。GPRS可说是GSM的延续。感觉有点不对劲

  3. 2016-04-11 20:23 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 看人生万般无奈,看世间千姿百态...)

    这个洞很值钱,可惜了。。。