某政府通用信息服务平台SQL注入漏洞+实例演示getshell

漏洞详情

披露状态:

2014-02-11: 细节已通知厂商并且等待厂商处理中
2014-02-16: 厂商已经确认,细节仅向厂商公开
2014-02-26: 细节向核心白帽子及相关领域专家公开
2014-03-08: 细节向普通白帽子公开
2014-03-18: 细节向实习白帽子公开
2014-03-28: 细节向公众公开

简要描述:

~?~

详细说明:

先找目标啦,使用这个平台的倒是有一些

QQ截图20140211123318.jpg



注入点在选择地区那里

http://网站地址/index_map.action?departId=xxxxxxxxx

xxxxxxxxx是地区编号



漏洞证明:

以网上村委会-高邮农村综合信息服务平台为例演示getshell

先拿sqlmap跑下,确实是注入

QQ截图20140211180946.jpg



管理员帐户信息存在 -D "GYXXFB" -T "SYS_USER"

跑出来这张表,查找admin,得到hash的password

QQ截图20140211181229.jpg



解出来,前台登陆后可以看到后台管理,连后台都省了找

QQ截图20140211181403.jpg



然后就是getshell,其实方式比较多,说一下我用的

通过修改底部图片链接,缩略图处直接上传jsp

QQ截图20140211181540.jpg



QQ截图20140211181709.jpg



保存以后通过首页的底部链接处找到shell地址

QQ截图20140211182029.jpg



直接是Administrator权限

QQ截图20140211182640.jpg



修复方案:

过滤~~~~~~~~

版权声明:转载请注明来源 飞扬风@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:17

确认时间:2014-02-16 10:46

厂商回复:

CNVD确认并复现所述多个实例情况,已经转由CNCERT下发给江苏分中心,由其后续联系网站管理单位以及尝试联系软件生产单位处置。

最新状态:

暂无


漏洞评价: