当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(14) 关注此漏洞

缺陷编号： WooYun-2014-77350

漏洞标题： 江南科友堡垒机直接获取所有账号/鸡肋代码执行/任意配置修改漏洞

相关厂商： cncert国家互联网应急中心

漏洞作者： 路人甲

提交时间： 2014-09-28 10:22

公开时间： 2014-12-25 10:24

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

自评Rank： 20

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 设计缺陷/边界绕过 敏感接口缺乏校验

3人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-28： 细节已通知厂商并且等待厂商处理中
2014-09-29： 厂商已经确认，细节仅向厂商公开
2014-10-02： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-23： 细节向核心白帽子及相关领域专家公开
2014-12-03： 细节向普通白帽子公开
2014-12-13： 细节向实习白帽子公开
2014-12-25： 细节向公众公开

简要描述：

江南科友堡垒机存在：
1.直接获取所有用户账号、密码等信息外加 服务器相关信息;
2.有条件的命令执行漏洞;
3.任意配置随便修改等漏洞。
涉及的客户如下（小部分）： 国内各大银行：中国银行、民生银行、广东发展银行、平安银行、深圳发展银行、浦发银行、渤海银行总行及各分行、中国工商银行、中国农业银行、交通银行、招商银行、中信银行、兴业银行、华夏银行、中国邮政储蓄银行总行或部分分行

详细说明：

0x01 直接获取所有用户账号、密码等信息外加 服务器相关信息;

存在漏洞的文件

/excel/user_export.php

/excel/server_export.php

访问这两个文件即可直接下载所有用户的账号、密码和服务器相关的信息

11.png



code 区域
德庆纪委_221.179.xx.8	Windows	221.179.xx.8


四会监狱_211.139.xx.233	Windows	211.139.xxx.233


四会市公安局_211.xx.254.244	Windows	211.xx.254.244


四会纪委_221.179.xx.28	Windows	221.179.xx.28



22.png



code 区域
dqjw	德庆纪委	30C0EC3DE6####C0136061ADB54##263CCBBB16F


shjy	四会监狱	7C69ABE63F##1D88F7AABDF#####C32E0657EF59


shgaj	四会公安局	EE20726AF06438E6331######A34D04AF5CA2C8C


shjw	四会纪委	8E0B8C94D##6F24D387EE74######5BB9B98C75



0x02 有条件的命令执行漏洞

漏洞文件

/admin/login.php

存在漏洞的代码：

code 区域
if($user_extend=='token')


  {


  	setcookie("CookieAuthType", "1",time()+86400*365*3);


  	$user_id = $user[0]['id'];


  	system('/usr/local/keyou/Bin/tokencheck '.$_POST['account'].' '.$_POST['password'],$return_flag);


  	//HacDebug( $return_flag);


  	//exit();


  	if($return_flag<>0){


  		$cl = new CommonLogo();


			$ip = $_SERVER['REMOTE_ADDR'];


			$manager = $_POST['account'];


			$module = "管理员登录";


			$cl->addLogo($manager, $module,"管理员尝试登录失败！", $ip);


			$cl->close();


//...


?>



经过测试可以知道$user_extend 为用户登录的认证方式，有 password 和 token 两种认证方式，存放于数据库中，如图

33.png



可见，该测试案例中为password方式。

从程序的逻辑我们知道，当系统采用的是 token 验证方式的话，程序便会执行如下的逻辑：

system('/usr/local/keyou/Bin/tokencheck '.$_POST['account'].' '.$_POST['password'],$return_flag);

这段逻辑均没有经过任何的过滤，于是便形成了命令执行漏洞。

由于该案例中采用的是 password 方式，不存在此命令执行，倘若采用的是 token 验证，提交如下代码 即可执行任意命令：

account=Administrator||echo wooyuntest > wooyun.php ||

这里不再做演示，点到为止。

0x03 任意配置随便修改等漏洞

漏洞文件

/manager/config_SSO.php

该文件没有经过任何的认证，便可以进行配置的修改，部分代码如下

code 区域
$Template = '/usr/local/keyou/Config/sso/'.$os_name."/T**.**.**.**f";


	$TelnetLogin = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetL**.**.**.**f";


	$TelnetPassword = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetP**.**.**.**f";


	$TelnetSuccess = '/usr/local/keyou/Config/sso/'.$os_name."/TelnetS**.**.**.**f";


//...


		WriteTo_Conf($_POST['type_mode'],$Template);


		


		WriteTo_Conf($_POST['telnet_os_login_mes'],$TelnetLogin);


		WriteTo_Conf($_POST['telnet_psw_enter_mes'],$TelnetPassword);


		WriteTo_Conf($_POST['telnet_login_ok_mes'],$TelnetSuccess);


	


		WriteTo_Conf($_POST['ssh_psw_enter_mes'],$SSHPassword);


		WriteTo_Conf($_POST['ssh_login_ok_mes'],$SSHSuccess);


		WriteTo_Conf($_POST['xwin_order'],$TermPath);



程序的逻辑是，先由用户提交 $os_name = $_POST['os_name']; 组成配置文件的路径，再通过WriteTo_Conf函数写配置文件，内容均是由通过POST提交的，因此可以修改为任意配置。

漏洞证明：

获取到的所有用户的账号、密码：

code 区域
dqjw	德庆纪委	30C0EC3DE6####C0136061ADB54##263CCBBB16F


shjy	四会监狱	7C69ABE63F##1D88F7AABDF#####C32E0657EF59


shgaj	四会公安局	EE20726AF06438E6331######A34D04AF5CA2C8C


shjw	四会纪委	8E0B8C94D##6F24D387EE74######5BB9B98C75

修复方案：

仔细检查

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-09-29 10:48

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-09-26 10:22 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    这系统完了

    1# 回复此人
  2. 2014-09-26 10:24 | zzR 认证白帽子 ( 核心白帽子 | Rank:1408 漏洞数:125 | 东方红＊＊联盟欢迎你－0-)
    0

    不是国家计算机信息安全认证过的吗？！

    2# 回复此人
  3. 2014-09-26 10:48 | he1renyagao ( 普通白帽子 | Rank:235 漏洞数:31 | 是金子总会发光，在还未发光之前，先磨磨)
    0

    这系统完了

    3# 回复此人
  4. 2014-09-26 11:11 | 黑吃黑 ( 普通白帽子 | Rank:165 漏洞数:32 | 不是因为看到了希望才去努力，而是努力了才...)
    0

    您好，请开门签收您的快递

    4# 回复此人
  5. 2014-09-26 14:46 | 洛丽潞丽 ( 路人 | Rank:22 漏洞数:4 | 专注殴打GOV30年)
    0

    全版本通用的悲剧？

    5# 回复此人
  6. 2014-10-20 10:27 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    0

    @zzR 不知道国家哪里认证的

    6# 回复此人

登录后才能发表评论，请先 登录 。