当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(8) 关注此漏洞

缺陷编号： WooYun-2014-68366

漏洞标题： Ecmall 前台任意文件删除

相关厂商： ShopEx

漏洞作者： ′雨。认证白帽子

提交时间： 2014-07-14 10:12

公开时间： 2014-10-09 10:14

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

自评Rank： 20

漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

0人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-14： 细节已通知厂商并且等待厂商处理中
2014-07-23： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-09-16： 细节向核心白帽子及相关领域专家公开
2014-09-26： 细节向普通白帽子公开
2014-10-06： 细节向实习白帽子公开
2014-10-09： 细节向公众公开

简要描述：

删除lock之后可以重装系统
然后连接上自己搭建的mysql环境 重装后 。。。。然后就各种操作。
20140618

详细说明：

在app/my_goods.app.php中

code 区域
function drop_image()


    {


        $id = empty($_GET['id']) ? 0 : intval($_GET['id']);


        $uploadedfile = $this->_uploadedfile_mod->get(array(


                  'conditions' => "f.file_id = '$id' AND f.store_id = '{$this->_store_id}'",


                  'join' => 'belongs_to_goodsimage',


                  'fields' => 'goods_image.image_url, goods_image.thumbnail, goods_image.image_id, f.file_id',


        ));


        if ($uploadedfile)


        {


            $this->_uploadedfile_mod->drop($id);


            if ($this->_image_mod->drop($uploadedfile['image_id']))


            {


                // 删除文件


                if (file_exists(ROOT_PATH . '/' . $uploadedfile['image_url']))


                {


                       @unlink(ROOT_PATH . '/' . $uploadedfile['image_url']);


                }


                if (file_exists(ROOT_PATH . '/' . $uploadedfile['thumbnail']))


                {


                       @unlink(ROOT_PATH . '/' . $uploadedfile['thumbnail']);


                }





code 区域
$uploadedfile = $this->_uploadedfile_mod->get(array(


                  'conditions' => "f.file_id = '$id' AND f.store_id = '{$this->_store_id}'",


                  'join' => 'belongs_to_goodsimage',


                  'fields' => 'goods_image.image_url, goods_image.thumbnail, goods_image.image_id, f.file_id',





这里查询出来后 然后就带入到了unlink当中



这里哪里入库呢?



首先注册一个会员 然后发布商品 然后



e90.jpg



这里别去上传文件 直接在地址处这样写

然后入库 而且不会被重命名。



此时执行的语句 INSERT INTO ecm_goods_image(goods_id,image_url,thumbnail,sort_order,file_id) VALUES('1','data/install.lock','data/install.lock','255','0')



没有rename



然后在删除这个商品的时候

就触发了 @unlink(ROOT_PATH . '/' . $uploadedfile['image_url']);



e91.jpg





e92.jpg





因为

code 区域
if (file_exists(ROOT_PATH . '/' . $uploadedfile['image_url']))


                {


                       @unlink(ROOT_PATH . '/' . $uploadedfile['image_url']);


                }


                if (file_exists(ROOT_PATH . '/' . $uploadedfile['thumbnail']))


                {


                       @unlink(ROOT_PATH . '/' . $uploadedfile['thumbnail']);





他这里unlink了两次 所以第一次unlink后 文件就不存在了 第二次unlink的时候就报错了 但是没影响 因为文件是已经删除了的。



然后直接重装



e93.jpg





然后写自己的mysql环境就能重装 然后各种操作了。

漏洞证明：

见上。

修复方案：

rename一下。

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-09 10:14

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-07-14 10:29 | 疯子 ( 普通白帽子 | Rank:259 漏洞数:45 | 世人笑我太疯癫，我笑世人看不穿~)
    2

    危害太大了吧，来发我 我来帮你测一下！

    1# 回复此人
  2. 2014-07-15 00:43 | loli 认证白帽子 ( 普通白帽子 | Rank:649 漏洞数:59 | 每个男人心中都住着一个叫小红的88号技师。)
    0

    撸总高产，一天两洞啊。

    2# 回复此人
  3. 2014-07-16 08:26 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    我发现我又传错图了，

    3# 回复此人
  4. 2014-07-18 17:35 | ShopEx(乌云厂商)
    0

    @′ 雨。 Helo 亲 我们看了半天也没看懂，要么在传一个吧 有些页面也没找到 谢谢

    4# 回复此人
  5. 2014-07-19 00:18 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 不好意思 有些图传错了 我联系管理更新一下。

    5# 回复此人
  6. 2014-07-20 20:19 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 已经更新了 再看看？

    6# 回复此人
  7. 2014-07-22 11:06 | ShopEx(乌云厂商)
    0

    @′ 雨。 您好 没找到您图片中填写的地址 能否提供下URL，THX

    7# 回复此人
  8. 2014-07-22 15:05 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 添加商品下面的添加图片那里。

    8# 回复此人
  9. 2014-07-22 15:07 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 添加商品那不是有个添加商品图片那么 再试试 不久就要自动忽略了

    9# 回复此人
  10. 2014-07-23 09:12 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 哥们快来确认洞啊 再不确认就要忽略了，，

    10# 回复此人
  11. 2014-07-23 10:38 | ShopEx(乌云厂商)
    0

    @′ 雨。 Hi 您提交图片上传接口在新版本中未找到 未能证实成功 您的版号是多少啊 还是旧版本打了新补丁？

    11# 回复此人
  12. 2014-07-23 10:42 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 难道新版本中添加商品那没没添加商品图片的了？ 我直接打的补丁哦

    12# 回复此人
  13. 2014-07-23 10:44 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 怎么可能添加商品那没添加图片的。。。

    13# 回复此人
  14. 2014-07-23 10:55 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 私信个联系方式 一起来看看？

    14# 回复此人
  15. 2014-07-23 15:14 | ShopEx(乌云厂商)
    0

    @′ 雨。 亲 我早就想私信了 你的名字发送的时候查找不到！！

    15# 回复此人
  16. 2014-07-23 15:30 | ′ 雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @ShopEx 哈哈 名字太非主流了 那我给你私信 查看一下

    16# 回复此人
  17. 2014-08-21 09:26 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    0

    好想法哈

    17# 回复此人

登录后才能发表评论，请先 登录 。