当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(19) 关注此漏洞

缺陷编号： WooYun-2014-76860

漏洞标题： 江南科友堡垒机xss+越权+通杀SQL注入漏洞一（无需登录）

相关厂商： 江南科友科技股份有限公司

漏洞作者： 路人甲

提交时间： 2014-09-23 22:32

公开时间： 2014-12-20 22:34

漏洞类型： 设计不当

危害等级： 高

自评Rank： 20

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

6人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-23： 细节已通知厂商并且等待厂商处理中
2014-09-26： 厂商已经确认，细节仅向厂商公开
2014-09-29： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-20： 细节向核心白帽子及相关领域专家公开
2014-11-30： 细节向普通白帽子公开
2014-12-10： 细节向实习白帽子公开
2014-12-20： 细节向公众公开

简要描述：

详细说明：

接上一枚

http://**.**.**.**/bugs/wooyun-2014-063604

漏洞涉及客户如下：

国内各大银行：中国银行、民生银行、广东发展银行、平安银行、深圳发展银行、浦发银行、渤海银行总行及各分行、中国工商银行、中国农业银行、中国建设银行、交通银行、招商银行、中信银行、兴业银行、华夏银行、中国邮政储蓄银行总行或部分分行

中国银联：总公司及北京、广州、深圳、南京、福州、长沙、武汉、济南、青岛、沈阳、郑州、海口、天津、香港、厦门等分公司

银联数据：全国卡系统业务托管商业银行

外资银行：渣打银行、东亚银行：全国境内各个分行

外资金融机构：韩亚银行、花旗银行、通用电气、星展银行、美国第一资讯（FDC)

地方商业银行及农村信用社：40余家商业银行及农村信用社

社会保障与公共交通系统：湖北、黑龙江、广东、北京等社保卡安全系统，上海市公交一卡通安全系统，杭州市市民卡系统，长春一汽企业IC卡加密系统，宁波市民卡系统，郑州交通一卡通系统，山东一卡通系统

....

这是一个官方做的一个统计，在日常工作当中，在很多能源单位以及金融单位经常见江南科友堡垒机。。所以影响范围就不说了。

看分析吧



0x01 反射型xss

在rdplogout.php中

code 区域
</script>	


<body>


	


	<div align="center">


		<font color="red" >


			资源


			<?php


			echo $_GET['res_name'];  //直接输出，产生xss


			?>


		的远程连接已经退出


		</font>


	</div>



链接如下：

**.**.**.**/rdplogout.php?res_name=<script>alert(222)</script>

$)L[5ML6JDT95K@IVAN{J83.jpg





0x02 越权、信息泄露(物理路径）

**.**.**.**/system/ADD_VDH_Protocl.php

代码就不分析了。没有任何权限验证，导致可以随意增加协议相关信息

XZVI[JV`JXPNOR}2ZWSD351.jpg



**.**.**.**/system/download_cert.php?down_cret=1

$FTU(DL@%(U1QW7D04`YGY9.jpg





0x03 通杀SQL注入漏洞

在system/download_cert.php当中31行处

code 区域
if(isset($_GET['manager']) && isset($_GET['user_id']) && isset($_GET['cert_psw']))


	{


		$db = new SystemDB();


	


		$cert_msg = $db->getCertById('',$_GET['user_id'],$_GET['manager']);


		


		if(!empty($cert_msg))


		{



我们跟踪下getCertById 方法

code 区域
public function getCertById($id=null,$user_id=null,$userflag=null) 


    {


    	try 


    	{


    		if(!empty($id) && empty($user_id))


    			$sql = "select * from cert where id = ".$id;


    		else if(empty($id) && !empty($user_id))


    		{


    			$sql = "select * from cert where user_id=".$user_id." and userflag=".$userflag;	


    		}


    		//echo $sql;


    		$stmt = $this->dbh->prepare($sql);


    		$stmt->execute();



当$id 不为空 和$user_id为空的情况下 执行 "select * from cert where id = ".$id;

其中$id 有过滤吗？没，所以直接注，并且它有显错模式如图

https://1.x.x.98/system/download_cert.php?user_id=2&cert_psw=3&manager=1

B4@PCHVG677`3WX]K{6HN~M.jpg



1.jpg



2.jpg



3.jpg



4.jpg



5.jpg



堡垒机相信大家都懂，不懂的自己百度吧

堡垒机上面的内网机器就不去鼓捣了。。。

我们控制了它，相当于控制了内网的所有主机了。。。。





























漏洞证明：

https://1.x.x.98/system/download_cert.php?user_id=2&cert_psw=3&manager=1

B4@PCHVG677`3WX]K{6HN~M.jpg



1.jpg



2.jpg



3.jpg



4.jpg



5.jpg



堡垒机相信大家都懂，不懂的自己百度吧

堡垒机上面的内网机器就不去鼓捣了。。。

我们控制了它，相当于控制了内网的所有主机了。。。。

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2014-09-26 10:14

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-09-22 08:44 | feiyu ( 普通白帽子 | Rank:112 漏洞数:22 )
    0

    太吊了 用堡垒机的单位都有搞头

    1# 回复此人
  2. 2014-10-17 11:45 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    0

    其实我一直想问到底怎么证明是通杀的……每次都看见有一句话说xxx通杀，好像都是同一台机器？

    2# 回复此人
  3. 2014-12-20 23:28 | U神 ( 核心白帽子 | Rank:1360 漏洞数:150 | 乌云核心菜鸟，联盟托管此号中，欢迎加入08...)
    1

    @wefgod 首先源代码怎么来的，其二怎么通杀！其三没有互联网示例

    3# 回复此人
  4. 2014-12-21 09:21 | Mark ( 路人 | Rank:12 漏洞数:3 | You deserve more)
    1

    源码是怎么搞到的 好奇

    4# 回复此人
  5. 2014-12-22 09:09 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    1

    @U神 源码肯定是其它漏洞搞到的啊。通杀无法证明，看截图就一个例子，互联网是有示例的，他截图上的就是。我就说那么多咯

    5# 回复此人

登录后才能发表评论，请先 登录 。