当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(9) 关注此漏洞

缺陷编号: WooYun-2014-52740

漏洞标题: 皮皮精灵SQL注入可被上传WebShell

相关厂商: 皮皮精灵

漏洞作者: U神

提交时间: 2014-03-04 14:06

公开时间: 2014-04-18 14:07

漏洞类型: SQL注射漏洞

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 无

3人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-03-04: 细节已通知厂商并且等待厂商处理中
2014-03-04: 厂商已经确认,细节仅向厂商公开
2014-03-14: 细节向核心白帽子及相关领域专家公开
2014-03-24: 细节向普通白帽子公开
2014-04-03: 细节向实习白帽子公开
2014-04-18: 细节向公众公开

简要描述:

多低调的标题!

详细说明:

code 区域
#1.主要是因为我曾经提交了一个漏洞: WooYun: 皮皮精灵XSS盲打后台导致多个管理员中枪 
然后厂商居然忽略了,后来厂商告诉我是因为春节没什么人值班,导致未确认而忽略了,于是乎我就在想,我一定要再给它找出一个漏洞来,然后看了一下皮皮精灵的漏洞史,看到了这个: WooYun: 皮皮精灵某站沦陷近500w用户信息面临泄漏风险 漏洞,仔细打开图片看看,是织梦的,并且后台没有打码,后台地址也没有改,后台地址是:
http://content.pp.cc/ctpanel/login.php

#2.突然想到前几天爆出了DEDECMS全版本通杀SQL注入,于是试试可不可以用,输入目录plus提示没有,但其实很多白帽子经常忽略,有时候一个网站提示正在建设,或者怎么的,但你要相信虽然网站提示暂停服务但不一定说明web文件已经移除。

02.jpg



然后借用工具直接爆出了所有管理员的密码,说明漏洞文件/plus/recommend.php是存在的
手工EXP:
http://content.pp.cc//plus/recommend.php?aid=1&_FILES[type][name]&_FILES[type][size]&_FILES[type][type]&_FILES[type][tmp_name]=aa\%27and+char(@`%27`)+/*!50000Union*/+/*!50000SeLect*/+1,2,3,group_concat(userid,0x23,pwd),5,6,7,8,9%20from%20`%23@__admin`%23

01.jpg



整理了一下,其中pader、七曜、sck339、dora、a1053355625、冰雨含柔、zhang001 这几个帐号的密码是可以破解的,织梦的MD5只要去掉前三位和后一位再拿去解密即可破解,并且冰雨含柔、zhang001这两位同学用的是同一个密码。

漏洞证明:

code 区域
#3. 于是解密,然后发现pader的权限比其它的要大很多,核心配置都是可以查看的,其它的则无法查看,然后成功进入后台.

03.jpg



#4.虽然后台限制了很多,但是最后还是被我getshell了。

04.jpg



数据库我就不爆了,上面那个带馅儿馒头已经暴过了,并且数据库连接信息没有改。

修复方案:

PS:仅供测试,未动任何文件,未脱裤,白帽子是不会干这种事的,切勿跨省!建议如果不需要到/plus/recommend.php 可删除,并且加强各个管理员的密码安全,那什么密码pp2012,如果fuzzer起来完全可以爆破猜解到-_-

一般能得到shell的建议给20Rank,就当补补前面给你们提交了却忽略了的漏洞的分吧。

版权声明:转载请注明来源 U神@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-03-04 19:14

厂商回复:

我们还以为是黑客呢,当时感觉不是白帽子,不过既然是白帽子也就放心了。

十分感谢,DedeCMS 实在是一个令人头疼的问题,我们已经不再维护这个程序了,再仍然需要放在线上运行,这东西的渣架构也注定了漏洞满天飞。

PS:我们真的不是有意要忽略你上次发的漏洞,神啊(U神),请原谅。

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%

评价

  1. 2014-03-04 14:10 | U神 ( 核心白帽子 | Rank:1360 漏洞数:150 | 乌云核心菜鸟,联盟托管此号中,欢迎加入08...)
    2

    又把我的标题改的高调了

  2. 2014-03-04 19:19 | 皮皮精灵(乌云厂商)
    1

    @U神 你标题这么高调,你家里人知道吗?

  3. 2014-03-04 19:29 | U神 ( 核心白帽子 | Rank:1360 漏洞数:150 | 乌云核心菜鸟,联盟托管此号中,欢迎加入08...)
    1

    @皮皮精灵 我的标题本来是皮皮精灵SQL注入,已shell!然后审核人员改吊了~~你放心,数据什么的都没有动你们的哈,请自查log,只是后台研究了拿shell的时候添了一两个测试文章,不过都删了~shell的名称叫zx.php,为了不让运营人员偷懒,请自行删除,上次那个忽略的就算了,既然你们确认了,我后期还有几个漏洞提交给你们~

  4. 2014-03-04 19:59 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | ☯☯☯☯☯☯☯☯☯☯)
    1

    @皮皮精灵 我们还以为是黑客呢,警察叔叔快抓住@U神

  5. 2014-04-18 14:51 | nzk1912 ( 实习白帽子 | Rank:41 漏洞数:10 | 软件开发8年了,也来挖挖漏洞,为创建安全...)
    0

    @U神 能把上面的getshell工具给偶发一份吗?新手哈~少工具~

  6. 2014-04-18 15:09 | 刺丶魂 ( 路人 | Rank:17 漏洞数:9 )
    0

    @U神 把上面的getshell工具 给我发一份吧!菜鸟需要 工具!

  7. 2014-04-18 16:10 | YHHK ( 路人 | Rank:22 漏洞数:5 | love hacker!love technology!)
    0

    我们还以为是黑客呢

登录后才能发表评论,请先 登录