当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(14) 关注此漏洞

缺陷编号: WooYun-2014-77350

漏洞标题: 江南科友堡垒机直接获取所有账号/鸡肋代码执行/任意配置修改漏洞

相关厂商: cncert国家互联网应急中心

漏洞作者: 路人甲

提交时间: 2014-09-28 10:22

公开时间: 2014-12-25 10:24

漏洞类型: 设计缺陷/逻辑错误

危害等级: 高

自评Rank: 20

漏洞状态: 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 设计缺陷/边界绕过 敏感接口缺乏校验

3人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-09-28: 细节已通知厂商并且等待厂商处理中
2014-09-29: 厂商已经确认,细节仅向厂商公开
2014-10-02: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-11-23: 细节向核心白帽子及相关领域专家公开
2014-12-03: 细节向普通白帽子公开
2014-12-13: 细节向实习白帽子公开
2014-12-25: 细节向公众公开

简要描述:

江南科友堡垒机存在:
1.直接获取所有用户账号、密码等信息外加 服务器相关信息;
2.有条件的命令执行漏洞;
3.任意配置随便修改等漏洞。
涉及的客户如下(小部分): 国内各大银行:中国银行、民生银行、广东发展银行、平安银行、深圳发展银行、浦发银行、渤海银行总行及各分行、中国工商银行、中国农业银行、交通银行、招商银行、中信银行、兴业银行、华夏银行、中国邮政储蓄银行总行或部分分行

详细说明:

0x01 直接获取所有用户账号、密码等信息外加 服务器相关信息;

存在漏洞的文件

/excel/user_export.php

/excel/server_export.php

访问这两个文件即可直接下载所有用户的账号、密码和服务器相关的信息

11.png



code 区域
德庆纪委_221.179.xx.8	Windows	221.179.xx.8
四会监狱_211.139.xx.233 Windows 211.139.xxx.233
四会市公安局_211.xx.254.244 Windows 211.xx.254.244
四会纪委_221.179.xx.28 Windows 221.179.xx.28



22.png



code 区域
dqjw	德庆纪委	30C0EC3DE6####C0136061ADB54##263CCBBB16F
shjy 四会监狱 7C69ABE63F##1D88F7AABDF#####C32E0657EF59
shgaj 四会公安局 EE20726AF06438E6331######A34D04AF5CA2C8C
shjw 四会纪委 8E0B8C94D##6F24D387EE74######5BB9B98C75



0x02 有条件的命令执行漏洞

漏洞文件

/admin/login.php

存在漏洞的代码:

code 区域
if($user_extend=='token')
{
setcookie("CookieAuthType", "1",time()+86400*365*3);
$user_id = $user[0]['id'];
system('/usr/local/keyou/Bin/tokencheck '.$_POST['account'].' '.$_POST['password'],$return_flag);
//HacDebug( $return_flag);
//exit();
if($return_flag<>0){
$cl = new CommonLogo();
$ip = $_SERVER['REMOTE_ADDR'];
$manager = $_POST['account'];
$module = "管理员登录";
$cl->addLogo($manager, $module,"管理员尝试登录失败!", $ip);
$cl->close();
//...
?>



经过测试可以知道$user_extend 为用户登录的认证方式,有 password 和 token 两种认证方式,存放于数据库中,如图

33.png



可见,该测试案例中为password方式。

从程序的逻辑我们知道,当系统采用的是 token 验证方式的话,程序便会执行如下的逻辑:

system('/usr/local/keyou/Bin/tokencheck '.$_POST['account'].' '.$_POST['password'],$return_flag);

这段逻辑均没有经过任何的过滤,于是便形成了命令执行漏洞。

由于该案例中采用的是 password 方式,不存在此命令执行,倘若采用的是 token 验证,提交如下代码 即可执行任意命令:

account=Administrator||echo wooyuntest > wooyun.php ||

这里不再做演示,点到为止。

0x03 任意配置随便修改等漏洞

漏洞文件

/manager/config_SSO.php

该文件没有经过任何的认证,便可以进行配置的修改,部分代码如下

code 区域
$Template = '/usr/local/keyou/Config/sso/'.$os_name."/T**.**.**.**f";
$TelnetLogin = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetL**.**.**.**f";
$TelnetPassword = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetP**.**.**.**f";
$TelnetSuccess = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetS**.**.**.**f";
//...
WriteTo_Conf($_POST['type_mode'],$Template);

WriteTo_Conf($_POST['telnet_os_login_mes'],$TelnetLogin);
WriteTo_Conf($_POST['telnet_psw_enter_mes'],$TelnetPassword);
WriteTo_Conf($_POST['telnet_login_ok_mes'],$TelnetSuccess);

WriteTo_Conf($_POST['ssh_psw_enter_mes'],$SSHPassword);
WriteTo_Conf($_POST['ssh_login_ok_mes'],$SSHSuccess);
WriteTo_Conf($_POST['xwin_order'],$TermPath);



程序的逻辑是,先由用户提交 $os_name = $_POST['os_name']; 组成配置文件的路径,再通过WriteTo_Conf函数写配置文件,内容均是由通过POST提交的,因此可以修改为任意配置。

漏洞证明:

获取到的所有用户的账号、密码:

code 区域
dqjw	德庆纪委	30C0EC3DE6####C0136061ADB54##263CCBBB16F
shjy 四会监狱 7C69ABE63F##1D88F7AABDF#####C32E0657EF59
shgaj 四会公安局 EE20726AF06438E6331######A34D04AF5CA2C8C
shjw 四会纪委 8E0B8C94D##6F24D387EE74######5BB9B98C75

修复方案:

仔细检查

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-09-29 10:48

厂商回复:

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-09-26 10:22 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    这系统完了

  2. 2014-09-26 10:24 | zzR 认证白帽子 ( 核心白帽子 | Rank:1408 漏洞数:125 | 东方红**联盟欢迎你-0-)
    0

    不是国家计算机信息安全认证过的吗?!

  3. 2014-09-26 10:48 | he1renyagao ( 普通白帽子 | Rank:235 漏洞数:31 | 是金子总会发光,在还未发光之前,先磨磨)
    0

    这系统完了

  4. 2014-09-26 11:11 | 黑吃黑 ( 普通白帽子 | Rank:165 漏洞数:32 | 不是因为看到了希望才去努力,而是努力了才...)
    0

    您好,请开门签收您的快递

  5. 2014-09-26 14:46 | 洛丽潞丽 ( 路人 | Rank:22 漏洞数:4 | 专注殴打GOV30年)
    0

    全版本通用的悲剧?

  6. 2014-10-20 10:27 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    0

    @zzR 不知道国家哪里认证的

登录后才能发表评论,请先 登录