漏洞详情

披露状态:

2014-07-30: 细节已通知厂商并且等待厂商处理中
2014-08-04: 厂商已经确认,细节仅向厂商公开
2014-08-07: 细节向第三方安全合作伙伴开放
2014-09-28: 细节向核心白帽子及相关领域专家公开
2014-10-08: 细节向普通白帽子公开
2014-10-18: 细节向实习白帽子公开
2014-10-28: 细节向公众公开

简要描述:

捡漏、前者提交是前台显示
我这也走前台吧。

详细说明:

前人漏洞: WooYun: 某OA系统SQL注射+后台getshell
厂商:北京联杰海天科技有限公司 官网:http://www.haitiansoft.com/
产品:OA协同办公系统
搜索引擎语法:intitle:系统登录 系统检测到您没有安装OA客户端控件
影响实例:

http://121.30.226.44/login.asp 大同煤矿集团雁崖煤业公司
http://124.65.69.14/login.asp 路恒安市政工程
http://vos.tjufe.edu.cn/login.asp 天津财经大学
http://211.68.250.42/login.asp 天津农学院
http://www.fzsyxx.com/oa/ 抚州市实验学校
http://oa.ccib.com.cn/login.asp 长城保险
http://www.cnshuiyu.com/login.asp 上海水域环境发展有限公司
http://oa.tjfsu.edu.cn/login.asp 天津外国语大学
http://old.mdjagri.gov.cn/oa/login.asp 海天网络
http://60.171.34.204:8086/ 淮南市城市管理行政执法局
http://116.228.82.237/login.asp 德林义肢
http://dfoa.shhjwl.com/login.asp 上海东飞公司
http://www.cnshuiyu.com/login.asp 上海水域环境发展有限公司
http://211.68.192.21/login.asp 天津音乐学院
http://121.30.226.44/login.asp 大同煤矿集团
http://180.166.7.94/login.asp 上海市市容环境卫生汽车运输处
http://cqkyoa.oicp.net/login.asp 科云建筑有限公司


【第1处SQL注射示例】
实例1. http://oa.tjfsu.edu.cn/NewRegisterDo.asp (注册处)

Post:AddOrEdit=88952634&TureName=88952634&UserPassWord=88952634&PassWord=88952634&DepartMentDis=88952634&DepartMentID=88952634&UserName=88952634

UserName参数存在注入

q1.jpg

q2.jpg


实例2. http://oa.tjfsu.edu.cn/NewRegisterDo.asp

Post:AddOrEdit=88952634&TureName=88952634&UserPassWord=88952634&PassWord=88952634&DepartMentDis=88952634&DepartMentID=88952634&UserName=88952634

q3.jpg


实例3. http://www.cnshuiyu.com/login.asp

Post:AddOrEdit=88952634&TureName=88952634&UserPassWord=88952634&PassWord=88952634&DepartMentDis=88952634&DepartMentID=88952634&UserName=88952634

q4.jpg

漏洞证明:

【第2处SQL注射示例】
实例1. http://oa.ccib.com.cn/Public/OA_Download.asp?FieldName=Filename&FileContentField=FileContent&Table=Usr_Init&OAID=UsrID&Value=1
Value参数存在注入

q5.jpg


实例2. http://211.68.208.53/Public/OA_Download.asp?FieldName=Filename&FileContentField=FileContent&Table=Usr_Init&OAID=UsrID&Value=1

q6.jpg


实例3. http://180.166.7.94/Public/OA_Download.asp?FieldName=Filename&FileContentField=FileContent&Table=Usr_Init&OAID=UsrID&Value=1

q7.jpg


实例4. oa.tjfsu.edu.cn/Public/OA_Download.asp?FieldName=Filename&FileContentField=FileContent&Table=Usr_Init&OAID=UsrID&Value=1

q8.jpg

q9.jpg

修复方案:

GetShell可参考蓝猫所述: WooYun: 某OA系统SQL注射+后台getshell
以oa.tjfsu.edu.cn 天津外国语大学为例:
利用注入点跑出管理员帐号密码,密码有的是BASE64加密,可解

q11.jpg

q12.jpg


登录后点击"资讯内容维护"-"修改"
在编辑器中点击添加图片按钮,上传一句话。
接下来的懒猫证明过了,到这里Shell我就不传了~撤

标签: none

评论已关闭