绕过小皮游戏某站SQL注入导致Getshell(几乎线上所有服务权限到手) | wooyun-2016-0212147

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2016-0212147

漏洞标题：

绕过小皮游戏某站SQL注入导致Getshell(几乎线上所有服务权限到手)

漏洞详情

披露状态：

2016-05-25：细节已通知厂商并且等待厂商处理中
2016-05-26：厂商已经确认，细节仅向厂商公开
2016-06-05：细节向核心白帽子及相关领域专家公开
2016-06-15：细节向普通白帽子公开
2016-06-25：细节向实习白帽子公开
2016-07-10：细节向公众公开

简要描述：

恩~~~ 不知道厂商送不送礼物啦

详细说明：

问题出在open.xiaopi.com/sdk/ajax/isemailexist/ post提交email

后来测试发现过滤了form 还是360websafe 没关系~
经过测试发现换行注释就可以正常报错查询了

$~P`_9]HZK4OENN{[[1EYQ$4.png$

$@7[{W]F2QKBF`ST0V6OS1_2.png$

通过报错找到一些邮箱密码
admin@xiaopi.com
4bNE9qXVez4bNE9q

$1_H6UVS05]NTOB2[{6ID9(A.jpg$

因为是管理员帐号进入邮件管理

我看到pms项目管理账号我就想是不是存在什么敏感文件呢~ 我就更改了密码进去看看

http://pms.xiaopi.com
通过邮件里面的用户进行手工弱口令尝试(这些站点都有防护措施,不能动作太大)
后来发现大量弱口令就不一一列举了

准备通过 WooYun: 禅道漏洞第二弹后台读写任意文件/getshell 写入webshell
但是还不知道如何绕过
后来进过大量测试(花了我整整一天)！！发现可以提交一句话木马但是提交后的主机立马被封IP但是其实是已经上传上去了,只要开个vpn就可以访问了
http://pms.xiaopi.com//www/data/upload/1.php 密码test